如何通过外部PHP文件传递.htpasswd登录信息访问受保护目录？

当然可以实现！针对你的需求，我给你分两种最实用的场景来讲解——这些都是在社区里被大量验证过的可靠方案：

场景1：PHP直接访问服务器文件系统（推荐，效率更高） #

如果你的PHP脚本和受保护目录在同一台服务器上，其实根本不用折腾HTTP认证那一套——因为.htaccess的密码保护只针对外部发起的HTTP请求，对服务器内部的文件系统访问完全不生效。

具体操作： #

1. 先确认运行PHP的服务器进程（通常是www-data或者apache用户）拥有读取受保护目录的权限，用chown或chmod调整一下就行，比如：

   chown -R www-data:www-data /path/to/protected-directory
   chmod -R 755 /path/to/protected-directory
   

2. 然后在你的外部PHP文件里直接用文件系统函数访问内容就好，举几个例子：

   // 读取受保护目录里的文本文件
   $fileContent = file_get_contents('/path/to/protected-directory/report.txt');
   
   // 包含受保护目录里的PHP脚本（比如复用其中的函数）
   require '/path/to/protected-directory/utils.php';
   
   // 遍历受保护目录里的文件列表
   $files = scandir('/path/to/protected-directory');
   

这种方式既绕开了HTTP认证的限制，又能保证外部用户无法直接通过URL访问目录，完美符合你的需求。

场景2：必须通过HTTP请求访问（比如跨站点/需要Apache处理） #

如果你的PHP脚本必须通过HTTP请求来访问受保护目录（比如该目录属于另一个虚拟主机，或者需要Apache解析其中的PHP文件后返回处理结果），那可以让PHP在发起请求时携带HTTP基本认证的头部，让Apache识别这是已授权的请求。

具体操作： #

首先，你需要把.htpasswd里的用户名和密码拼接成用户名:密码的格式，再做Base64编码，然后把这个编码结果放到Authorization请求头里。

用cURL实现的示例：

// 建议把这些敏感信息存在环境变量或非Web目录的配置文件里，不要硬编码！
$authUser = getenv('PROTECTED_DIR_USER');
$authPass = getenv('PROTECTED_DIR_PASS');
$targetUrl = 'http://your-domain.com/protected-directory/index.php';

$ch = curl_init($targetUrl);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
// 设置认证头部
curl_setopt($ch, CURLOPT_HTTPHEADER, [
    'Authorization: Basic ' . base64_encode("$authUser:$authPass")
]);

$response = curl_exec($ch);
curl_close($ch);

// 处理返回的内容，比如输出到页面
echo $response;

用file_get_contents实现的示例：

$authUser = getenv('PROTECTED_DIR_USER');
$authPass = getenv('PROTECTED_DIR_PASS');
$targetUrl = 'http://your-domain.com/protected-directory/data.json';

// 创建带认证头部的请求上下文
$context = stream_context_create([
    'http' => [
        'header' => "Authorization: Basic " . base64_encode("$authUser:$authPass")
    ]
]);

$response = file_get_contents($targetUrl, false, $context);
// 解析并使用返回的内容
$data = json_decode($response, true);

关键安全提醒： #

• 绝对不要把用户名和密码直接写在PHP代码里！推荐用服务器环境变量（比如Apache的SetEnv指令或Nginx的fastcgi_param），或者放在Web根目录之外的配置文件中，给配置文件设置chmod 600的权限，只有服务器进程能读取。
• 保持你原来的.htaccess配置不变，这样外部用户直接输URL访问时，依然会被要求输入密码，完全符合“禁止直接URL访问”的要求。

内容的提问来源于stack exchange，提问作者fightstarr20