phpMyAdmin本身不限制并发连接或请求频率，需通过MySQL的max_user_connections按账号限制并发连接数、Web服务器（如Nginx limit_req）限流HTTP请求、禁用弱密码账号并关闭root远程访问来综合防护。
phpMyAdmin 本身不控制并发连接或请求频率
phpmyadmin 是一个纯前端 php 应用，它不内置连接池、限流器或会话级并发控制。所有“连接数”“查询频次”都由底层服务决定：mysql 的 max_user_connections 控制单用户最大活跃连接，而 http 请求频率（比如每秒点多少次“执行 sql”）得靠 web 服务器或反向代理拦。
在 MySQL 层限制单用户并发连接数
这是最直接有效的手段，针对恶意账号反复建连刷查询的行为。关键不是限制总连接数，而是按账号粒度控制：
-
max_user_connections是 MySQL 用户级变量，单位是“同时打开的连接数”，设为5就意味着该账号最多维持 5 个活跃mysqli或PDO连接 - 设置方式：登录 MySQL 后执行
ALTER USER 'attacker'@'%' WITH MAX_USER_CONNECTIONS 3;（注意：MySQL 5.7.6+ 才支持此语法） - 旧版本需改表：
UPDATE mysql.user SET max_user_connections = 3 WHERE User = 'attacker';，然后FLUSH PRIVILEGES; - 这个值对 phpMyAdmin 有效——因为每次点击“执行”都会新建一个连接（除非启用了
$cfg['Servers'][$i]['connect_type'] = 'socket'且复用，但默认不复用）
在 Nginx / Apache 层拦截高频请求
phpMyAdmin 页面被刷，本质是 HTTP GET/POST 请求洪水。Web 服务器必须承担第一道防线：
- Nginx 可用
limit_req按 IP 或 cookie 限速，例如限制同一 IP 每分钟最多 20 次 POST 到/phpmyadmin/sql.php - 别只限
/phpmyadmin/根路径——攻击者会绕过首页直打sql.php、import.php等接口 - Apache 需配合
mod_evasive或mod_ratelimit，但效果不如 Nginx 的limit_req精确；更稳妥的是加一层fail2ban监控 access.log 中高频 200/400 请求 - 注意：如果 phpMyAdmin 在子目录（如
/tools/pma/），规则路径要写全，否则白配
禁用密码弱账号 + 关闭 root 远程访问
多数“恶意账号 DDoS”其实源于已泄露或暴力破解的低权限账号。限制连接数只是兜底，源头治理更关键：
- 删掉所有空密码、纯数字密码、用户名=密码的账号，用
SELECT User,Host,authentication_string FROM mysql.user;检查 - 禁止
root从%登录：执行DROP USER 'root'@'%';，只保留'root'@'127.0.0.1'或内网 IP - phpMyAdmin 的
$cfg['Servers'][$i]['auth_type'] = 'cookie'虽方便，但若没配 HTTPS，登录凭证明文传，极易被劫持复用——强制走 HTTPS 是硬性前提 - 如果业务真不需要远程 DB 访问，干脆把 MySQL 的
bind-address改成127.0.0.1，让 phpMyAdmin 和 MySQL 同机通信，外部连不上端口，很多攻击面直接消失
真正难防的不是“高并发连接”，而是合法账号被拿去反复发 SELECT SLEEP(10) 或大结果集查询——这类行为不会触发 max_user_connections，得靠慢查询日志 + max_execution_time + 定时 kill 配合。不过那是另一个监控维度的事了。
立即学习“PHP免费学习笔记（深入）”；
