Ubuntu 16.04下Apache2的htaccess密码验证如何设置超时重验？

嘿，这个问题我之前维护服务器的时候也踩过坑！Apache默认的HTTP Basic认证会话确实会一直保持着，哪怕用户离开很久回来还能直接访问，确实有安全隐患。要搞定超时机制，得从服务器端配置和浏览器行为两方面入手，给你整理几个可行的方案：

1. 用AuthTimeout设置服务器端会话超时 #

Apache的mod_auth_basic模块自带了AuthTimeout指令，专门用来控制认证会话的有效期——从用户最后一次发起请求的时间开始计算，超时后就会要求重新输入密码。

把下面的代码加到你的.htaccess文件里（注意替换成你自己的认证配置）：

AuthType Basic
AuthName "Restricted Folder"
AuthUserFile /absolute/path/to/your/.htpasswd
Require valid-user

# 设置超时时间为15分钟（单位：秒）
AuthTimeout 900

你可以根据需求调整数值，比如设置300秒就是5分钟超时。

2. 强制浏览器不缓存认证凭证 #

有些浏览器会默认记住HTTP Basic认证的密码，就算服务器端超时了，浏览器也会自动偷偷发送保存的凭证，导致看起来没生效。这时候要在响应头里加指令，禁止浏览器缓存认证相关内容：

在.htaccess里添加这段配置：

# 告诉浏览器不要缓存认证会话和页面内容
Header set Cache-Control "no-cache, no-store, must-revalidate"
Header set Pragma "no-cache"
Header set Expires "0"

这段配置会让浏览器每次请求都重新向服务器验证身份，不会复用之前保存的凭证。

3. 特殊情况的补充说明 #

• 如果你用的是mod_auth_digest（摘要认证），AuthTimeout指令同样适用，而且摘要认证本身比Basic更安全，推荐如果能切换的话优先用它。
• 要是用户手动在浏览器里勾选了“记住密码”，那上面的配置可能就失效了——因为浏览器会强制保存凭证。这种情况没法通过服务器端完全控制，你可以考虑用表单式认证（比如结合PHP会话）替代HTTP Basic认证，这样能更灵活地控制会话超时，还能自定义登录页面。
• 确认你的Apache服务器已经启用了mod_auth_basic和mod_headers模块（这两个一般默认都是启用的，如果没开的话需要在主配置里加载）。

内容的提问来源于stack exchange，提问作者Zach Decamp