WordPress /shop页面.htpasswd验证异常：点击取消仍能访问

我来帮你搞定这个问题！你遇到的情况是因为身份验证规则的位置不对——WordPress的重写规则先接管了请求，导致验证流程没真正生效，所以点取消还能进入页面。下面是具体的解决步骤：

首先得有一个存储用户名密码的.htpasswd文件，建议把它放在WordPress根目录之外的位置（比如你的主机用户主目录），避免被公开访问。用SSH登录主机后，执行下面的命令生成：

htpasswd -c /home/your-username/.htpasswd shop-access-user

• 替换/home/your-username/为你主机上的实际路径（比如/var/www/之外的安全目录）
• shop-access-user是你要设置的登录用户名，执行后会提示你输入并确认密码

把身份验证规则放在WordPress默认规则的前面，这样Apache会先检查身份，再交给WordPress处理请求。修改后的完整.htaccess内容如下：

# 保护/shop页面及所有子路径
<LocationMatch "^/shop(/.*)?$">
    AuthType Basic
    AuthName "Restricted Shop Area"
    AuthUserFile /home/your-username/.htpasswd
    Require valid-user
</LocationMatch>

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

关键细节说明： #

• 规则顺序是核心：必须把验证规则放在WordPress规则块之前，否则请求会先被WordPress重写到index.php，验证流程就被跳过了。
• LocationMatch匹配范围：^/shop(/.*)?$可以匹配/shop、/shop/以及/shop下的所有子页面（比如/shop/abc-product），确保整个店铺区域都被保护。
• .htpasswd路径要准确：如果不确定自己主机的绝对路径，可以在WordPress根目录新建一个临时PHP文件，内容写<?php echo $_SERVER['DOCUMENT_ROOT']; ?>，访问这个文件就能看到网站根目录，然后调整.htpasswd的路径。

如果设置后还是有问题，可以检查这两点：

• 确认主机的Apache已经启用了mod_auth_basic和mod_authz_user模块（绝大多数主机默认是开启的）
• 检查.htpasswd文件的权限，设置为644即可，确保Apache进程能读取它

内容的提问来源于stack exchange，提问作者David