配置htpasswd限制根目录，/api/xxx被拦截，求正确配置方案

你的问题出在SetEnvIf的正则表达式上——当前的"(api|oauth)$"只会匹配以api或oauth结尾的请求（比如/api或/oauth），但像/api/xxx这种带后续路径的请求，结尾是xxx，自然不会被匹配到，所以还是会触发验证。

下面给你两种修正方案，分别适配不同版本的Apache：

方案1：兼容Apache 2.2和2.4 #

修改SetEnvIf的正则，让它能匹配所有以/api/、/oauth/开头的路径，以及/api、/oauth本身：

<Location />
    AuthType Basic
    AuthName "Auth Required"
    AuthUserFile /home/user/.htpasswd
    Require valid-user

    # 匹配/api、/oauth，以及它们后面带任意子路径的请求
    SetEnvIf Request_URI "^/(api|oauth)(/.*)?$" allow

    Order allow,deny
    Allow from env=allow
    Satisfy any
</Location>

正则说明： #

• ^/：确保路径从网站根目录开始
• (api|oauth)：匹配api或oauth字符串
• (/.*)?：可选的后续路径（/开头，后面跟任意字符），?表示这个部分可以不存在
• $：匹配路径结尾，避免类似/api-test这种无关路径被误放行

方案2：Apache 2.4+ 简洁写法 #

如果你的服务器是Apache 2.4及以上，推荐用更现代的Require expr语法，不需要依赖环境变量，写法更直观：

<Location />
    AuthType Basic
    AuthName "Auth Required"
    AuthUserFile /home/user/.htpasswd

    # 先放行符合正则的API路径，其余需要验证
    Require expr %{REQUEST_URI} =~ m#^/(api|oauth)(/.*)?$#
    Require valid-user
</Location>

这里用m#...#作为正则分隔符，是因为路径里包含/，用#可以避免频繁转义，让正则更易读。

注意事项 #

• 确保Apache的mod_setenvif模块已经启用（方案1需要），如果不确定，可以通过apache2ctl -M（Linux）或httpd -M（Windows）查看
• 测试前记得清除浏览器的Basic Auth缓存，不然可能会看到旧的验证状态
• 如果你的API还有其他前缀（比如/api/v2），这个正则依然有效，因为(/.*)?会覆盖所有后续子路径

内容的提问来源于stack exchange，提问作者injetkilo