无需.htaccess实现Wordpress插件目录密码保护的方法咨询

方案1：使用WPEngine原生目录密码保护功能（优先推荐） #

该方案直接调用WPEngine平台的Nginx配置能力，兼容性最好，无需修改代码，不会受WordPress更新影响：

• 登录WPEngine站点管理后台，进入对应站点的「访问控制」设置板块
• 选择「密码保护目录」功能，点击添加新的保护规则
• 路径填写需要保护的插件子目录完整相对路径，示例：wp-content/plugins/目标插件名称/需要保护的子目录名
• 自定义设置访问用户名和密码，保存后等待1-2分钟平台配置生效即可

方案2：通过WordPress原生钩子实现PHP级鉴权 #

如果需要灵活定制鉴权逻辑，可通过代码实现，适配所有禁用.htaccess的托管平台：

• 在当前激活主题的functions.php文件，或者自定义功能插件中添加如下代码：

add_action('init', function() {
    // 请替换为你实际需要保护的目录相对路径
    $protected_path = 'wp-content/plugins/your-plugin/protected-folder/';
    $request_uri = sanitize_text_field($_SERVER['REQUEST_URI'] ?? '');

    // 校验当前请求是否指向受保护目录
    if (strpos($request_uri, '/' . $protected_path) === 0) {
        // 账号密码建议在wp-config.php中定义常量存储，避免硬编码
        $valid_user = PROTECTED_DIR_USER;
        $valid_pass = PROTECTED_DIR_PASS;

        // 校验HTTP基础认证信息
        if (
            !isset($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']) ||
            $_SERVER['PHP_AUTH_USER'] !== $valid_user ||
            $_SERVER['PHP_AUTH_PW'] !== $valid_pass
        ) {
            header('WWW-Authenticate: Basic realm="Restricted Area"');
            header('HTTP/1.0 401 Unauthorized');
            exit('Access denied: authorization required');
        }
    }
});

• 在wp-config.php中添加常量定义存储账号密码，提升安全性：

define('PROTECTED_DIR_USER', '自定义访问账号');
define('PROTECTED_DIR_PASS', '自定义访问密码');

注意事项：如果要保护的目录包含静态资源（图片、JS、CSS等），需要先在WPEngine后台的缓存规则中，将该目录设置为不缓存，避免静态资源被平台CDN直接返回、跳过PHP鉴权逻辑

内容的提问来源于stack exchange，提问作者winston