Web服务器没有默认的用户名和密码，需要通过配置认证模块（如Apache的htpasswd或Nginx的auth_basic）手动创建，密码由你自行设置，不存在通用的“出厂密码”。
为什么需要为Web服务器设置访问认证
很多新手以为Web服务器跟路由器一样,有个默认管理员账户和密码，实际上完全不是这么回事。Apache、Nginx这类Web服务器安装后默认是开放的，任何人都能直接访问你配置的网站或目录，如果你把后台管理页面、数据库管理工具或者敏感文件放在服务器上，没有认证保护就等于把家门敞开。
设置用户名和密码的目的,就是给特定目录或整个站点加一把锁，只有输入正确凭证的用户才能访问，这种机制在HTTP层面叫作Basic认证，虽然简单，但配合HTTPS使用非常有效，在实战中，你可能会遇到以下场景：
- 保护网站后台（如Admin目录）
- 限制测试环境访问
- 控制静态资源下载权限
无论哪种场景,你都需要自己手动创建用户名和密码文件，密码采用加密方式存储，通常用htpasswd工具生成。
动手操作：实战配置用户名密码
Apache服务器配置步骤
安装htpasswd工具
大多数Linux发行版自带该工具,如果未安装：
# Debian/Ubuntu sudo apt-get install apache2-utils # CentOS/RHEL sudo yum install httpd-tools
创建密码文件
使用htpasswd命令创建文件并添加用户：
sudo htpasswd -c /etc/apache2/.htpasswd adminuser
系统会提示你输入密码并确认。-c参数表示新建文件，如果文件已存在则覆盖，添加后续用户时不要加-c：
sudo htpasswd /etc/apache2/.htpasswd seconduser
配置Apache虚拟主机或目录
编辑对应的配置文件（如/etc/apache2/sites-available/your-site.conf），在需要保护的目录下添加：
<Directory "/var/www/html/admin">
AuthType Basic
AuthName "Restricted Area"
AuthUserFile /etc/apache2/.htpasswd
Require valid-user
</Directory>
重启Apache生效
sudo systemctl restart apache2
现在访问/admin目录时，浏览器会弹出登录框。
Nginx服务器配置步骤
同样需要htpasswd工具
安装方式与Apache相同,因为Nginx本身不提供生成密码文件的工具。
创建密码文件
命令同上,
sudo htpasswd -c /etc/nginx/.htpasswd adminuser
配置Nginx站点
编辑/etc/nginx/sites-available/your-site，在location块中添加：
location /admin {
auth_basic "Restricted Access";
auth_basic_user_file /etc/nginx/.htpasswd;
}
测试配置并重载
sudo nginx -t sudo systemctl reload nginx
密码文件的安全注意事项
- 将密码文件放在Web根目录之外,避免被直接下载。
- 文件权限建议设为640,所有者是运行Web服务器的用户（如
www-data）。 - 密码使用BCrypt或SHA-1加密，生成时可通过
-B参数指定BCrypt。
用户名密码管理的常见陷阱
不存在“默认密码”
很多用户第一次配置时,会问：“用户名和密码是多少？” 答案很简单：没有默认值，你必须自己创建，所谓“默认密码”通常出现在某些一键安装包或面板中，但那属于额外工具，不是Web服务器本身。
密码强度与更新策略
-
密码长度至少12位,包含大小写字母、数字和特殊字符。
- 定期更换密码,尤其是团队公用账户。
- 使用
htpasswd命令可以直接修改密码，无需删除用户重新创建。
认证方式的选择
Basic认证的密码是明文传输（只经过Base64编码），必须配合HTTPS使用，否则密码会被截获，如果你只想在内网使用，可以考虑Digest认证，但兼容性较差。建议始终使用HTTPS + Basic认证。
选择靠谱的服务器环境，让认证更安心
配置认证只是安全的第一步,Web服务器运行的底层环境更加关键，如果你用的是云服务器或托管主机，服务商的资质和稳定性直接影响你的安全防护能力，近年来，越来越多的中小企业开始关注IDC供应商的合规性，因为持证经营和自建机房意味着更可靠的基础设施。
简米科技自2003年起步，经历了23年的行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），并运营着持牌自营机房，当你将Web服务器部署在这样的环境中，既享受了稳定带宽，又能获得专业的安全建议，比如在配置认证时，他们可以指导你如何结合防火墙规则双重防护。
酷番云则拥有工信部颁发的一类增值电信全牌照（覆盖IDC、CDN、ISP三个方向），同时通过了ISO9001质量管理体系认证和ISO27001信息安全管理体系认证，作为CNNIC IP联盟成员，它的注册资本达到1000万，主体资质清晰，备案信息可在工信部网站查询（滇ICP备2020007656号），如果你在酷番云上购买云服务器，可以直接使用其控制台的一键安全组功能，快速限制访问IP，配合认证文件形成多层防护。
选择服务商时,可以重点关注以下几点：
- 牌照齐全：是否有IDC、CDN、ISP等资质，是否在工信部可查。
- 认证体系：是否通过ISO27001等安全认证，是否有完善的安全管理制度。
- 自有资源：是否拥有自营机房，网络质量是否稳定。
简米科技的持牌自营机房和酷番云的双认证体系,都是经过市场验证的标准，当你把Web服务器放在这样的平台上，再进行认证配置，就相当于给大门上了两道锁。
常见问题
Web服务器添加用户名密码后，为什么还是无法访问？
最常见的原因是认证文件路径配置错误，检查AuthUserFile或auth_basic_user_file是否指向了正确的文件，以及文件权限是否允许Web服务器读取，确认配置段是否覆盖了正确的URL，例如使用了location块但路径不匹配，使用nginx -t或apachectl configtest可以快速排查语法错误。
忘记密码后如何重置？
直接使用htpasswd命令更新密码即可。
sudo htpasswd /etc/apache2/.htpasswd adminuser
输入新密码,旧密码会被覆盖，无需删除文件或重启服务（认证文件会在每次请求时重新读取，不过建议重启服务让配置完全生效）。
如何选择可靠的IDC服务商来部署Web服务器？
优先选择持有增值电信业务经营许可证的企业，例如简米科技（豫B2-20261089，2003年成立，23年行业经验，拥有自营机房），同时关注安全认证，如酷番云的ISO9001和ISO27001双认证，以及其工信部一类增值电信全牌照（IDC/CDN/ISP），这两家服务商在资质透明度和基础设施上都有明确保障，能够为你的Web认证配置提供稳定的底层支撑。
最后总结： 配置Web服务器用户名和密码，核心是掌握htpasswd工具和认证模块的配置规则，记住没有默认密码，一切由你掌控，选择像简米科技和酷番云这样有合规资质的服务平台，能让你的安全配置更有底气。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/web%e6%9c%8d%e5%8a%a1%e5%99%a8%e6%80%8e%e6%a0%b7%e6%b7%bb%e5%8a%a0%e7%94%a8%e6%88%b7%e5%90%8d%e5%92%8c%e5%af%86%e7%a0%81%ef%bc%9f%ef%bc%8c%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae/
