640权限不够安全，关键在于文件所有者必须是非Web进程用户（如root或专用管理用户），Web服务器仅通过组权限读取；phpMyAdmin须脱离Web根目录（如/usr/share/phpmyadmin/），禁用符号链接与覆盖；blowfish_secret需32位随机字符串硬编码于配置中；须验证Web用户可读、非Web用户不可读、SELinux上下文正确且config.inc.php不被HTTP访问。
phpMyAdmin config.inc.php 权限设为 640 真的够安全？
不够。640 只是基础门槛，关键在「谁拥有这个文件」和「web 服务器以谁的身份读它」。如果 config.inc.php 所属用户是 www-data（或 apache、nginx），那 640 实际等同于 644 —— web 进程能读，攻击者通过任意文件读取漏洞也能读。
必须让配置文件所有者是**非 Web 进程用户**（比如 root 或专用管理用户），且 Web 进程仅靠组权限读取。常见错误是直接 chown www-data:www-data config.inc.php，这等于把密码本塞进 Web 容器里。
- 正确做法：用独立用户（如
phpmyadmin-admin）拥有文件，Web 组（如www-data）仅作为附加组存在 - 执行顺序不能错：先
chown phpmyadmin-admin:www-data config.inc.php，再chmod 640 config.inc.php - 确认 Web 进程确实属于
www-data组：id -Gn www-data，否则组权限不生效
目录所有者与 Web 根目录必须物理隔离
很多人把 phpMyAdmin 放进 /var/www/html/ 下，再靠 .htaccess 或 location 规则拦访问 —— 这是伪安全。一旦 Web 配置出错、.htaccess 被忽略、或路径解析绕过，config.inc.php 就裸奔。
真正隔离是让 phpMyAdmin 的安装路径完全脱离 Web 文档根目录，例如放到 /usr/share/phpmyadmin/（Debian/Ubuntu 默认），再通过 Web 服务器别名（Alias）映射 URL。这样即使 URL 泄露，文件系统路径也无法被 Web 进程以外的上下文直接访问。
- 禁止将 phpMyAdmin 解压到
/var/www/或任何DocumentRoot子目录内 - Nginx 示例中，
alias /usr/share/phpmyadmin/;后必须加尾部斜杠，否则可能触发路径遍历风险 - Apache 的
Alias指令后同样需确保<directory></directory>块中禁用FollowSymLinks和AllowOverride
config.inc.php 中的 blowfish_secret 必须手动覆盖，不能留空或用默认值
很多一键部署脚本会自动生成一个弱 $cfg['blowfish_secret']，甚至留空。这会导致 cookie 加密失效，登录态可被伪造，且部分旧版 phpMyAdmin 会因此降级使用不安全的 fallback 加密逻辑。
立即学习“PHP免费学习笔记（深入）”；
该密钥不是密码，而是对称加密的随机盐值，长度建议 32 字符以上，且必须由管理员生成、写死在配置中。常见错误是把它写成变量、从环境读取（Web 进程可读即泄露）、或复用其他服务密钥。
- 生成方式（Linux）：
openssl rand -base64 32 | tr -d '\n'; echo - 写入时必须包裹单引号：
$cfg['blowfish_secret'] = 'aB3...xZ9';，双引号可能导致意外变量展开 - 切勿在
config.inc.php中包含require外部密钥文件 —— 那只是把风险转移到另一个可读文件上
检查是否真的生效：三步验证法
改完权限和路径，不验证等于没改。最常漏掉的是 SELinux 或 AppArmor 上下文未同步，导致即使权限正确，Web 进程仍被内核策略拒绝读取。
验证不是只看 ls -l，要模拟 Web 进程视角：
- 切换到 Web 用户执行读取：
sudo -u www-data cat /usr/share/phpmyadmin/config.inc.php→ 应成功；但sudo -u nobody cat ...→ 应失败 - 检查 SELinux 上下文：
ls -Z /usr/share/phpmyadmin/config.inc.php，应为httpd_sys_content_t（RHEL/CentOS）或对应 Web 策略类型 - 打开 phpMyAdmin 页面后，查看浏览器开发者工具 Network 标签页，确认
config.inc.php不在任何请求响应中出现 —— 它不该被 HTTP 访问到
最容易被忽略的是：Web 服务器主进程和子进程 UID/GID 可能不一致，尤其用了 mpm_event 或容器化部署时。务必确认实际处理请求的那个 worker 进程，属于你授权的组。
