XAMPP默认仅允许本地访问phpMyAdmin，这是自1.4.3版起的安全机制；错误提示“Access to the requested object is only available from the local network”表明httpd-xampp.conf中的LocationMatch或Directory规则正生效，严格限制为127.0.0.1、::1及私有网段，远程请求直接返回403。
默认情况下，XAMPP 的 phpMyAdmin 是**仅限本地访问**的——这是它自带的安全策略，不是 bug，而是 feature。如果你发现它被远程访问了，说明这个保护已被手动关闭；反之，若你正被“New XAMPP security concept”错误拦在门外，恰恰说明限制生效了。
为什么访问 phpMyAdmin 会提示 “Access to the requested object is only available from the local network”
这是 XAMPP 自 1.4.3 版本起内置的硬性访问控制，由 httpd-xampp.conf 中的 <locationmatch></locationmatch> 规则触发。它匹配包括 /phpmyadmin 在内的敏感路径，并默认只放行本地地址（::1、127.0.0.1、私有网段等），其他请求直接返回 403。
常见现象：
- 浏览器打开
http://192.168.1.100/phpmyadmin显示红字错误页 -
curl http://192.168.1.100/phpmyadmin返回 HTTP 403 - 日志中出现
client denied by server configuration
这不是配置失效，而是安全机制正在工作。
立即学习“PHP免费学习笔记（深入）”；
如何确认并保留“仅本地访问”策略
关键不是“怎么关”，而是“怎么确保它没被意外打开”。检查以下两处配置是否维持默认收紧状态：
- 打开
httpd-xampp.conf（Windows 在XAMPP\apache\conf\extra\，Linux/macOS 在/opt/lampp/etc/extra/或/Applications/MAMP/conf/apache/extra/） - 找到以
<locationmatch></locationmatch>开头的区块，确认其中包含未注释的Require local（Apache 2.4+）或Deny from all+Allow from ::1 127.0.0.0/8 ...（Apache 2.2） - 检查
<directory></directory>区块内没有出现Require all granted或Allow from all
只要这两处没被人为改写，phpMyAdmin 就天然只响应 localhost 和 127.0.0.1 的请求，连同局域网其他设备（如 192.168.x.x）都会被拒绝。
config.inc.php 里加 IP 判断是多余且危险的
有人会在 config.inc.php 顶部插入类似这样的 PHP 逻辑：
$ip_prefix = '127.0.0.1';
if (substr($_SERVER['REMOTE_ADDR'], 0, strlen($ip_prefix)) != $ip_prefix) die('Access denied');
这不仅无效（请求根本到不了 PHP 层，Apache 已在路由前拦截），还会制造假安全感。一旦 Apache 配置被误调，这段代码就彻底失效；而它本身还可能被绕过（比如通过代理伪造 REMOTE_ADDR）。真正的防线必须落在 Web 服务器层——也就是 httpd-xampp.conf。
额外注意：$cfg['Servers'][$i]['auth_type'] = 'cookie' 或 'http' 是登录认证方式，和网络访问控制无关。即使设为 'config'（明文存密码），只要 Apache 拦住了外网请求，密码也不会暴露。
Windows/Linux/macOS 路径与语法差异要点
不同系统下配置文件位置和指令略有区别，但核心逻辑一致：
- Windows（XAMPP）：路径通常是
XAMPP\apache\conf\extra\httpd-xampp.conf；Apache 2.4 推荐用Require local，2.2 用Order deny,allow+Deny from all+Allow from 127.0.0.1 - Linux（LAMPP）：路径多为
/opt/lampp/etc/extra/httpd-xampp.conf；注意目录名可能是phpMyAdmin-5.2.1-english这类带版本号的，<directory></directory>标签需严格匹配实际路径 - macOS（MAMP）：路径在
/Applications/MAMP/conf/apache/extra/httpd-xampp.conf；MAMP Pro 用户还需检查 GUI 界面中是否启用了“Allow network access to phpMyAdmin”选项（该选项会自动注入Require all granted）
改完务必重启 Apache：sudo /opt/lampp/lampp restart（Linux）、XAMPP Control Panel → Stop/Start（Windows）、MAMP 中点击 “Stop Servers → Start Servers”。
真正容易被忽略的点：很多人加固时只盯着 phpMyAdmin 目录，却忘了 <locationmatch></locationmatch> 同时覆盖了 /xampp、/security、/server-info 等页面——这些同样敏感，且共享同一套访问规则。删掉或注释掉 Require local，等于一次性放开所有后门入口。
