$cfg['blowfish_secret']必须≥32字节，否则AES-256-CBC加密失败，导致登录后立即登出、反复跳转登录页；该限制源于OpenSSL对AES-256密钥长度的硬性要求，phpMyAdmin未做自动补全，短密钥将使加密cookie无法解密。
因为 phpmyadmin 5.2+ 默认启用 cookie 认证，而该模式底层依赖 aes-256-cbc 加密，必须传入 ≥32 字节的密钥材料，$cfg['blowfish_secret'] 就是这个密钥源 —— 没它，加密链直接断裂，登录态无法建立。
不配 $cfg['blowfish_secret'] 会怎样？
不是“功能降级”，而是认证流程根本走不通：
- 页面底部持续显示“配置文件现在需要一个短语密码”，且无法关闭
- 输入账号密码后，HTTP 302 跳转回登录页，DevTools 中看不到
pmaAuth-*cookie - Apache/Nginx 日志里无报错，PHP 错误日志也静默 —— 因为失败发生在加密初始化阶段，早于日志记录时机
- 若侥幸绕过（如旧版 fallback），cookie 以明文存储，
$_SESSION可被任意伪造
$cfg['blowfish_secret'] 必须 ≥32 字节的硬性原因
这不是 phpMyAdmin 自定规则，而是 OpenSSL 底层限制：
- AES-256 要求密钥长度严格为 32 字节（256 位），
openssl_encrypt()收到短于 32 字节的字符串时，不会自动补零，而是返回false或静默截断 - phpMyAdmin 5.2.0+ 源码中明确校验：
if (strlen($cfg['blowfish_secret']) → 触发 <code>trigger_error()并禁用 cookie 认证 - 即使跳过校验（如 patch 旧版），PBKDF2 派生出的子密钥熵值暴跌，等同于裸奔
为什么旧版本能“凑合用”，5.2 却不行？
关键变化在认证路径重构：
- 5.1.x 及更早：cookie 加密逻辑存在兼容层，对短密钥尝试填充或容忍部分失败
- 5.2.x 起：移除 mcrypt 兼容代码，完全基于 OpenSSL 的
openssl_encrypt()/openssl_decrypt()，遵循 RFC 5652 严格校验密钥长度 - 同时废弃了
$cfg['Servers'][$i]['auth_type'] = 'http'等非标准模式，'cookie'成为事实默认，$cfg['blowfish_secret']从“可选”变为“强制前置依赖”
最容易被忽略的生效条件
填了 32 字符 ≠ 生效，位置和上下文必须精准：
立即学习“PHP免费学习笔记（深入）”；
- 必须写在
$cfg['Servers'][$i]配置块之前，否则 phpMyAdmin 初始化时读不到 - 必须确保
$cfg['Servers'][$i]['auth_type'] = 'cookie'已启用 —— 如果是'config'或'signon'，该密钥根本不参与流程 - 不能放在注释块里、不能被
/* */包裹、不能有 UTF-8 BOM 头（BOM 会被计入长度） - 修改后无需重启 Web 服务，但浏览器旧 cookie 会失效，需清空再试
真正卡住人的从来不是“怎么生成”，而是“为什么生成了还是报错”——绝大多数问题出在配置文件加载顺序、auth_type 实际值、以及那 32 字节是否真的被 PHP 当作纯字节读取。验证只有一招：php -r "echo strlen(include '/path/to/config.inc.php');" 输出必须 ≥32，且该行未被任何条件逻辑包裹。
