如何给网站或网页应用加密码保护

Vercel

1. 在Vercel控制台打开项目，进入Settings，然后进入Deployment Protection。
2. 在Password Protection里，打开开关。
3. 选择要保护的范围。Standard Protection不保护你的生产域名，所以要选All Deployments，把主网址也覆盖进来。
4. 输入密码，然后选择Save。访问者每次部署只需输入一次，之后由Cookie记住。

费用 仅限Pro套餐：每个受保护项目每月$20。Enterprise已包含，Hobby不提供。

所有套餐都免费的方式是Vercel Authentication，现在也覆盖生产环境了。访问者要用一个有该项目访问权限的Vercel账号登录，所以每个同事都需要一个。

Netlify

1. 打开网站，依次进入Project configuration、General、Visitor access、Password Protection。
2. 选择Configure Password Protection，再选Basic password protection，然后输入密码。
3. 选择All deploys，让正式网站和预览都受保护，然后选择Save。
4. 在较新的按额度计费的Pro套餐上，同样的设置在Visitor access、Project visibility下：选择Password。

/*  Basic-Auth: dana:a-long-password sam:another-long-password

费用 Pro套餐（每月$20，成员不限）或Enterprise。Free和Personal不提供。

如果只想给网站的一部分加用户名和密码，Pro和Enterprise也支持在_headers文件里写Basic-Auth规则，像下面这样。Netlify提醒，基本认证没有办法退出登录。

Cloudflare Access

1. 你的域名必须托管在Cloudflare。在控制台依次进入Zero Trust、Integrations、Identity providers，添加One-time PIN。
2. 进入Access controls、Applications，选择Create new application，再选Self-hosted and private，然后添加你网站的主机名。
3. 添加一条Allow策略。整个公司用Emails ending in加上@yourcompany.com，指定的人用Emails。其他人Access默认都会拒绝。
4. 选择Create。访问者输入邮箱，收到一个10分钟内有效、只能用一次的PIN，就能进来。

费用 50个用户以内免费，之后每用户每月$7，按年付费。

这不是共享密码：每个人都要证明自己能看到自己的收件箱，所以你可以一个一个地查看和移除人员。

用Cloudflare Worker做基本认证

1. 从Cloudflare的Workers基本认证示例开始。它会让浏览器询问用户名和密码，并用不会通过时间差泄露密码的方式进行比对。
2. 用下面的命令把密码存成密钥，不要写在代码里。
3. 只通过HTTPS提供服务。否则基本认证会以未加密的方式发送密码。

npx wrangler secret put PASSWORD

费用 Workers免费版每天可处理10万次请求。Workers付费版每月$5起。

Cloudflare注明这个示例不适合用于生产环境，并建议改用Cloudflare Access。

自己的服务器

1. 安装htpasswd工具（Debian和Ubuntu上是apache2-utils包，Red Hat上是httpd-tools），创建一个密码文件，每人一行。
2. 在nginx里，给网站加上auth_basic和auth_basic_user_file，如下所示。在Apache里，用AuthType Basic、AuthUserFile和Require valid-user。
3. 把密码文件放在网站目录之外，并使用HTTPS。Apache的文档提醒，基本认证会以未加密的方式发送密码。

sudo htpasswd -c /etc/apache2/.htpasswd dana

# nginx
location / {
    auth_basic           "Staff only";
    auth_basic_user_file /etc/apache2/.htpasswd;
}

费用 在你已有的服务器上免费。

基本认证可以给每个人单独设密码，比一个共享密码好。但你仍然要在服务器上手动添加和移除人员。