nginx-401

Nginx 401 Unauthorized 的定位与修复

现象

请求返回 401 Unauthorized，响应头可能带 WWW-Authenticate。常见于 Basic Auth、Bearer Token、上游认证或客户端证书。

快速定位

curl -v http://<host>/protected
nginx -T | grep -nE 'auth_basic|auth_basic_user_file|proxy_set_header Authorization'
tail -f /var/log/nginx/error.log
ls -l /etc/nginx/.htpasswd

常见根因

1. 未提供或提供了错误的 Basic Auth 凭据。
2. .htpasswd 文件路径/权限错误，或密码未生成。
3. Bearer Token 过期、签名错误或未透传到上游。
4. 上游应用自己返回 401，被误认为是 Nginx。
5. mTLS 客户端证书缺失或不受信任。

修复

• 先看响应头 Server 和 WWW-Authenticate，判断 401 来自 Nginx 还是上游。
• Basic Auth 用 htpasswd 重新生成密码文件，确认路径和权限。
• 确认 proxy_set_header Authorization $http_authorization 透传。
• Token 问题检查过期时间、签发方和时钟偏差。
• mTLS 检查客户端证书、CA 和 ssl_verify_client。
• 不要为了排障直接关闭认证；先修凭据或配置。

相关命令

• nginx — 配置与日志
• curl — 带凭据复现
• htpasswd — Basic Auth 文件