Apache代理身份验证失效问题：代理正常但未触发密码保护

你的问题核心在于认证规则的作用范围没覆盖到代理请求。当前你把Basic Auth配置在了<Directory "/var/www">块里，这个规则只对Apache本地文件系统中/var/www目录下的静态文件请求生效，但你的所有请求都通过ProxyPass直接转发到了后端的http://127.0.0.1:5000/，Apache根本不会去访问本地的/var/www目录，自然不会触发密码验证。

要解决这个问题，我们需要把认证规则绑定到请求的URL路径上，而非本地文件目录。用<Location>块就能实现这一点——它会针对所有匹配该路径的请求（包括代理转发的请求）强制生效。

修改后的VirtualHost配置 #

<VirtualHost *:*>
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    <Location "/">
        AuthType Basic
        AuthName "Restricted Content"
        AuthUserFile /etc/apache2/.htpasswd
        Require valid-user

        ProxyPass "http://127.0.0.1:5000/"
        ProxyPassReverse "http://127.0.0.1:5000/"
    </Location>
</VirtualHost>

关键细节说明 #

1. <Location "/">会匹配发往这个VirtualHost的所有请求，不管是本地文件还是代理请求，都会先执行里面的认证逻辑，通过验证后才会转发到后端。
2. 如果你还没创建.htpasswd文件，可以用以下命令生成（替换your-username为你要设置的用户名）：

   sudo htpasswd -c /etc/apache2/.htpasswd your-username
   

   执行后会提示你输入密码，后续添加新用户时去掉-c参数即可（避免覆盖已有用户）。
3. 修改配置后，记得重启Apache服务使更改生效：

   sudo systemctl restart apache2
   

内容的提问来源于stack exchange，提问作者Sp. Emmy