.htpasswd 条目生成器

生成可直接粘贴到 Apache .htpasswd 文件中的一行(identifiant:hash 格式,APR1-MD5 算法),通过基本认证保护目录。您输入的密码绝不会发送到服务器:哈希完全在您的浏览器中计算,所用的随机盐也在本地生成。

示例:

工作原理

Apache 的 .htpasswd 文件每行存储一个用户:用户名后跟冒号和密码的哈希值(绝不是明文密码)。该工具按 APR1-MD5 格式(htpasswd 命令历来生成的格式)计算该哈希,每次生成都会使用不同的 8 位随机盐,然后拼出 用户名:哈希 这一行,可直接添加到您的 .htpasswd 文件,或 Apache/Nginx 配置中的对应指令。

这一行应该放在哪里?

将它添加到 Apache 配置中 AuthUserFile 指令所指向的文件里(每个用户一行),然后在需要保护的目录上启用 AuthType Basic 和 Require valid-user。Nginx 需要兼容的模块(例如 ngx_http_auth_basic_module),指向同类型的文件。

APR1-MD5 在今天还足够安全吗?

APR1-MD5 仍是 .htpasswd 工具中兼容性最广的传统格式,但它比 bcrypt 等现代算法要弱。如果认证用于保护敏感数据,且您的 Apache/Nginx 版本支持,请优先选择更强的算法(通过 htpasswd -B 使用 bcrypt),并始终将基本认证与 HTTPS 配合使用,否则每次请求时凭据都会在网络上以明文传输。

隐私保护:您输入的密码和计算出的哈希 100% 保留在本地 —— 不会向服务器发送任何内容,包括为该条目生成的随机盐。