客户端JavaScript如何向Apache传递凭证解锁.htpasswd保护目录

前置Apache配置校验 #

• 先检查受保护目录对应的Apache虚拟主机/全局配置，确认该目录的 <Directory> 段满足两个硬要求：开启 AllowOverride AuthConfig（别设成None，不然.htaccess写啥都不生效）、如果需要让用户直接看到目录下的文件列表，额外加上 Options +Indexes
• 确认Apache已加载核心认证模块：mod_authn_core、mod_authn_file、mod_auth_basic，缺任意一个模块都会导致认证规则完全失效
• 用htpasswd命令在Web根目录之外的安全路径生成专属共享认证文件，比如执行 htpasswd -c /etc/apache2/.htpasswd_shared shared_web_user，设置高强度的专属密码——这组凭证永远不对普通最终用户公开。

受保护目录的.htaccess配置 #

在需要开放文件访问的目标目录下新建.htaccess文件，写入最小可用配置：

AuthType Basic
AuthName "Shared File Access Area"
AuthUserFile /etc/apache2/.htpasswd_shared
Require valid-user

这个配置会拦截所有未携带正确认证信息的请求，没有有效凭证的外部访问会直接拿到401状态码，读不到目录下的任何文件。

自研Web应用的认证透传逻辑 #

完全依托浏览器的Basic认证原生缓存机制实现无弹窗的顺畅访问：

浏览器的Basic认证缓存规则是整套方案能跑通的核心：只要同一源下的任意一个请求携带正确的认证头、并拿到Apache返回的200响应，浏览器就会把这组凭证绑定到当前源的认证作用域，后续所有到该作用域内的导航、资源下载请求，都会自动带上这组缓存凭证，直到标签页被关闭。

• 应用后端绝对不要把共享的htpasswd明文凭证硬编码到前端代码、或者存到前端永久存储里；仅当用户通过自研应用的API完成数据库账号校验、拿到合法的应用会话权限后，才通过短时效加密接口，把这组共享凭证临时返回给当前已登录的前端会话（建议设10分钟以内的有效窗口，降低凭证被截获滥用的风险）
• 前端拿到临时返回的凭证后，第一时间对Apache受保护目录根路径发一次无副作用的HEAD请求，把凭证拼成标准格式的请求头：Authorization: Basic <base64编码的共享账号:共享密码>，等请求返回200后，浏览器就自动完成认证凭证的本地缓存
• 缓存完成后，再把目录下所有文件的访问URL列表渲染到应用页面上——用户点任意文件链接、或者直接触发下载时，浏览器会自动带上已缓存的认证信息访问Apache，全程不会弹出Apache原生的认证输入框。

风险规避要点 #

• 存放.htpasswd的路径必须放在Web服务可访问的根目录之外，避免因权限配置失误导致密码文件被外部直接读取
• 受保护目录必须强制开启HTTPS访问：Basic认证的凭证仅做Base64编码、不做加密，明文HTTP传输时很容易被抓包截获
• 给这组共享的htpasswd账号仅开放受保护目录的读权限，不要赋予任何写入、修改的操作权限
• 可在.htaccess里叠加简单的Referer校验规则，仅允许来自自研应用域名的请求访问该目录，进一步压缩未授权访问的空间

内容的提问来源于stack exchange，提问作者Jonathan Elkins