如何用.htaccess保护index.php，同时开放所有带q查询参数的请求？

当然可以！完全只靠.htaccess就能实现你要的需求——保护不带查询参数的index.php，同时开放所有带?q=*参数的请求。核心思路是通过区分请求的查询字符串，对不同情况应用或跳过Basic Auth认证。

实现方案（推荐用SetEnvIf） #

下面是直接可用的.htaccess代码，我会逐段解释：

# 配置Basic Auth基础参数
AuthType Basic
AuthName "Admin Only Area"
# 替换成你服务器上.htpasswd文件的绝对路径
AuthUserFile /var/www/your-site/.htpasswd

# 设置访问规则：要么带q参数跳过认证，要么需要合法用户
Require expr %{ENV:NO_AUTH} == 1
Require valid-user

# 当查询字符串以q=开头时，设置NO_AUTH环境变量（跳过认证）
SetEnvIf Query_String "^q=.*" NO_AUTH=1

代码解释 #

1. Basic Auth基础配置：定义了认证类型、提示名称，以及存储用户名密码的.htpasswd文件路径（记得替换成你自己的绝对路径）。
2. 访问规则：用Require expr实现逻辑或——如果NO_AUTH环境变量为1（即带q参数的请求），则允许访问；否则必须通过Basic Auth认证。
3. SetEnvIf匹配查询参数：检查请求的查询字符串是否以q=开头（不管后面跟着什么哈希值），如果是就设置NO_AUTH=1，让后续的认证规则跳过检查。

另一种实现方式（用RewriteRule） #

如果你更习惯用mod_rewrite，也可以通过Rewrite规则设置环境变量，效果完全一样：

RewriteEngine On

# 匹配带q=参数的index.php请求，设置NO_AUTH环境变量
RewriteCond %{QUERY_STRING} ^q=.*
RewriteRule ^index\.php$ - [E=NO_AUTH:1]

# 同上面的Basic Auth配置
AuthType Basic
AuthName "Admin Only Area"
AuthUserFile /var/www/your-site/.htpasswd
Require expr %{ENV:NO_AUTH} == 1
Require valid-user

注意事项 #

• .htpasswd路径：必须用服务器的绝对路径，你可以通过SSH登录服务器后用pwd命令查看当前网站目录的绝对路径，再加上.htpasswd的文件名。
• 模块支持：确保你的Apache服务器开启了mod_auth_basic、mod_authz_core和mod_setenvif（或mod_rewrite）模块，主流主机默认都开启了，如果没开启需要联系主机商或修改httpd.conf配置。
• 测试验证：直接访问your-domain.com/index.php应该弹出认证框；访问your-domain.com/index.php?q=任意哈希值应该直接加载页面，不需要输入密码。
• 哈希参数兼容性：你的查询参数已经做了哈希处理，这个方案完全不影响——不管q=后面跟着什么内容，只要符合^q=.*的规则就会跳过认证，正好匹配你的需求。

内容的提问来源于stack exchange，提问作者Shrey Gupta