.htaccess密码保护下载目录首次登录跳转文件页问题咨询

受基础认证（Basic Auth）保护的目录首次被访问时，服务器会先返回401状态码触发登录弹窗，用户完成认证后，服务器直接返回目标文件资源。默认配置下浏览器会在当前标签页加载该资源，导致原页面被替换为文件地址页。后续访问时浏览器已缓存认证信息，直接触发下载行为因此表现正常。
之前添加的自动跳转HTML文件不生效，是因为用户请求的是zip/exe等二进制文件，服务器不会返回HTML文件内容，跳转逻辑自然无法执行。

一、调整.htaccess配置（可选，优先做） #

将原.htaccess内容替换为以下配置，作用是强制指定后缀的文件触发下载，避免浏览器直接在页面内打开文件：

AuthType Basic
AuthName "Access restricted"
AuthUserFile /home/dir/.members
AuthGroupFile /dev/null
Require valid-user

# 强制zip、exe文件触发下载
<FilesMatch "\.(zip|exe)$">
    ForceType application/octet-stream
    Header set Content-Disposition attachment
</FilesMatch>

# 关闭目录浏览，避免暴露所有文件路径
Options -Indexes

提示：如果修改配置后网站出现500错误，删除Header set Content-Disposition attachment这行即可，仅靠下面的前端配置也可以解决绝大多数跳转问题。如果需要保留该配置，联系服务器运营商开启mod_headers模块即可正常生效。

二、修改前端链接逻辑（必做，无需后端知识即可完成） #

单个链接修改 #

给所有指向受保护下载目录的链接添加target="_blank"和download两个属性，示例如下：

<!-- 原链接写法 -->
<a href="/download/测试文件.zip">下载资源</a>

<!-- 修改后写法 -->
<a href="/download/测试文件.zip" target="_blank" download>下载资源</a>

• target="_blank"：点击后新开标签页处理认证和下载逻辑，原页面完全不会被替换
• download：告诉浏览器该链接用于下载，优先级高于服务器返回的资源类型配置，优先触发下载行为

批量链接修改 #

如果页面内下载链接数量较多，可以直接在页面引入以下JS代码批量添加属性，不需要手动修改每个链接：

// 页面加载完成后自动处理所有下载链接
document.addEventListener('DOMContentLoaded', function() {
  // 将下面的/download/替换为你自己的受保护下载目录路径
  const downloadLinks = document.querySelectorAll('a[href^="/download/"]');
  downloadLinks.forEach(link => {
    link.setAttribute('target', '_blank');
    link.setAttribute('download', '');
  });
});

效果验证 #

修改完成后打开浏览器隐私窗口测试：首次点击下载链接会在新标签页弹出登录框，输入认证信息后直接触发下载，原页面不会发生跳转，后续点击同类链接无需重复登录，直接触发下载。

内容的提问来源于stack exchange，提问作者SimFreak