nginx反向代理phpMyAdmin时需在nginx层终止SSL，配置正确证书路径、ssl_protocols、add_header X-Forwarded-Proto $scheme，并设置phpMyAdmin的$cfg['ForceSSL']=true和$cfg['PmaAbsoluteUri']='https://domain/phpmyadmin/'。
nginx 反向代理 phpMyAdmin 时如何正确配置 SSL
直接在 phpmyadmin 里配 https 不现实——它本身不处理 tls，得靠 web 服务器（如 nginx 或 apache）终止 ssl。最稳妥的做法是让 nginx 做反向代理，并在 nginx 层配置证书。
常见错误是把证书配在 phpMyAdmin 的 config.inc.php 里，或者试图用 $cfg['ForceSSL'] = true 强制跳转却没开外部 HTTPS 支持，结果页面白屏或混合内容报错。
- 确保你的域名已解析到服务器，且 443 端口开放（云服务商安全组也要放行）
- 证书文件路径必须绝对准确：
/etc/ssl/private/mydomain.key和/etc/ssl/certs/mydomain.crt是典型位置，别漏掉中间证书链（如有，合并进 crt 文件或用ssl_trusted_certificate单独指定） - nginx 配置中必须包含
ssl_protocols TLSv1.2 TLSv1.3，禁用老旧协议；ssl_ciphers建议用 Mozilla 推荐的 modern 或 intermediate 配置 - 务必在 server 块里加
add_header X-Forwarded-Proto $scheme;，否则 phpMyAdmin 检测不到 HTTPS 环境，$cfg['ForceSSL']会失效
phpMyAdmin 的 $cfg['ForceSSL'] 和 $cfg['PmaAbsoluteUri'] 怎么设才不翻车
这两个配置项不是可有可无的开关，而是 HTTPS 正常工作的关键补丁。设错会导致登录重定向死循环、CSS 加载失败、AJAX 请求被浏览器拦截。
典型现象：点登录后 URL 变成 http://yourdomain.com:8080/...?token=xxx（端口暴露、协议降级），或控制台报 Mixed Content 错误。
-
$cfg['ForceSSL'] = true;必须开启，但前提是 nginx 已正确传入 HTTPS 信号（见上一条的X-Forwarded-Proto） -
$cfg['PmaAbsoluteUri']要写成完整 HTTPS 地址，例如'https://db.example.com/phpmyadmin/'（结尾斜杠不能少）；如果用子目录部署，路径必须和 nginx 的location完全一致 - 不要用
$_SERVER['HTTPS']动态判断来赋值PmaAbsoluteUri——反向代理下这个变量通常为空或不可靠
Apache 用户绕不开的 ProxyPreserveHost 和 SSLProxyEngine
如果你用 Apache 代理 phpMyAdmin，mod_proxy 默认会改写 Host 头，导致 phpMyAdmin 生成的链接变成内网地址或 localhost，HTTPS 会立刻崩。
立即学习“PHP免费学习笔记（深入）”；
错误现象包括：点击数据库后跳转到 https://localhost/phpmyadmin/...，或登录后返回 500 错误并提示 SSL proxy requested for localhost。
- 必须启用
SSLProxyEngine on，否则 Apache 拒绝代理 HTTPS 后端（即使你本地是 HTTP） -
ProxyPreserveHost on是刚需，保证原始 Host 头透传给 phpMyAdmin，让它知道该用哪个域名生成链接 - 在
VirtualHost:443块里加RequestHeader set X-Forwarded-Proto "https"，和 nginx 的X-Forwarded-Proto作用一样，不然$cfg['ForceSSL']无效 - 避免用
ProxyPass / https://127.0.0.1:8443/这类 HTTPS 回环代理——证书校验容易失败，优先走 HTTP 内部通信 + 外部 HTTPS 终止
Let’s Encrypt 证书自动更新后 phpMyAdmin 打不开？检查这三处
certbot renew 成功不代表服务就 OK。phpMyAdmin 不感知证书变化，但 nginx/Apache 会因证书路径变更或权限问题拒绝加载新证书，导致整个站点 502 或 SSL handshake failed。
最常被忽略的是文件权限和 SELinux 上下文（CentOS/RHEL 系统）。
- 确认新证书文件属主是
root，但 nginx/Apache worker 进程能读取：chmod 644 /etc/letsencrypt/live/example.com/fullchain.pem和privkey.pem - SELinux 启用时，运行
restorecon -Rv /etc/letsencrypt/，否则httpd_can_network_connect可能阻止 Apache 读取证书 - certbot 的
--deploy-hook必须 reload 服务，不是 restart：systemctl reload nginx（reload 不中断连接，restart 可能丢掉正在传输的 SQL 导出）
HTTPS 加密这事，核心不在 phpMyAdmin 本身，而在于代理层是否干净地把“我正在走 HTTPS”这个事实传递到位。任何一环漏掉 X-Forwarded-Proto 或路径写错一个字符，都会让加密形同虚设。
