phpMyAdmin能被外网访问的根本原因在于MySQL未禁用TCP监听，而非phpMyAdmin自身问题；必须设置skip-networking或bind-address=127.0.0.1，并在phpMyAdmin中配置host='localhost'启用socket连接，同时限制Web层访问路径与权限。
phpMyAdmin 为什么还能被外网访问？根本不是它的问题
phpmyadmin 本身不监听网络端口，它只是个 php 应用。你看到的“外网能连上 phpmyadmin”，实际是背后的 web 服务器（比如 apache 或 nginx）把请求转给了它，而 web 服务器又连上了 mysql —— 真正该锁住的是 mysql 的监听方式，不是 phpmyadmin 的配置。
MySQL 必须禁用 TCP 监听，只留 socket 文件
这是最关键的一步。只要 MySQL 还在监听 0.0.0.0:3306 或 127.0.0.1:3306，任何能访问 Web 服务器的人都可能通过 phpMyAdmin 间接走 TCP 连 MySQL（尤其当 phpMyAdmin 配置了 $cfg['Servers'][$i]['host'] = '127.0.0.1' 时）。
操作步骤：
- 编辑 MySQL 配置文件（通常是
/etc/mysql/mysql.conf.d/mysqld.cnf或/etc/my.cnf） - 确保存在并启用
skip-networking（彻底关闭 TCP） - 或者更稳妥地：设置
bind-address = 127.0.0.1+require_secure_transport = ON（但 socket 不走 TLS，所以仍推荐skip-networking） - 重启 MySQL：
sudo systemctl restart mysql - 验证是否生效：
ss -tlnp | grep :3306—— 如果没输出，说明 TCP 已关闭
phpMyAdmin 配置要匹配 socket 路径，不能写错 host
MySQL 关了 TCP 后，phpMyAdmin 必须显式指定用 socket 连，否则会报 Connection refused 或 Can't connect to local MySQL server。
在 config.inc.php 中调整服务器定义：
立即学习“PHP免费学习笔记（深入）”；
$cfg['Servers'][$i]['host'] = 'localhost'; // 注意：必须是 'localhost'，不是 '127.0.0.1' $cfg['Servers'][$i]['socket'] = '/var/run/mysqld/mysqld.sock'; // 路径需和 MySQL 实际一致 $cfg['Servers'][$i]['port'] = ''; // 留空，避免覆盖 socket 逻辑
关键点：
-
'localhost'触发 MySQL C API 的 socket 连接逻辑；'127.0.0.1'强制走 TCP —— 这是很多人踩坑的根本原因 -
socket路径可通过 MySQL 命令查：mysql -e "SHOW VARIABLES LIKE 'socket';" - 如果 Web 服务器和 MySQL 不在同一机器（比如 Docker 分离部署），这条路根本走不通 —— 此方案只适用于本地一体化部署
Web 层加一层限制，防 phpMyAdmin 被意外暴露
即使 MySQL 只走 socket，phpMyAdmin 本身如果放在公网可访问路径下，仍可能被暴力扫描或误配置泄露。这不是 MySQL 安全问题，而是应用暴露面问题。
建议动作：
- 把 phpMyAdmin 放到非默认路径，比如
/secret-pma/，而不是/phpmyadmin/ - 在 Web 服务器中禁止外部访问：
Apache 示例：<Location /secret-pma> Require local </Location>
Nginx 示例：allow 127.0.0.1; deny all;在 location 块内 - 确认 phpMyAdmin 没开启
$cfg['AllowArbitraryServer'] = true，否则用户能手动填 host 绕过限制
真正起作用的是 MySQL 的 skip-networking 和 phpMyAdmin 里那个看似普通的 'localhost' —— 写成 '127.0.0.1' 就前功尽弃。socket 路径错一个字符、Web 服务没 reload，都会让整个链路静默失败，查日志时重点盯 mysqli_real_connect() 的报错和 MySQL 错误日志里的连接来源。
