phpMyAdmin自动补全不直接泄露表名，但启用CodeMirror且加载表结构后会提示库内所有表名；需同时禁用CodeMirror、关闭information_schema查询（DisableIS=true）、混淆表单字段并清除缓存方可彻底阻断。
phpmyadmin 的自动补全本身不直接泄露表名，但它的 sql 编辑器（codemirror）会缓存并提示当前数据库中已加载的表名和字段名——只要用户能登录、选中某个库，输入 select * from 就可能弹出该库所有表名。这不是“漏洞”，而是功能副作用；禁用它需从源头掐断补全行为和缓存加载。
关闭 CodeMirror 的 SQL 补全与表结构预加载
补全提示依赖两个条件：CodeMirror 启用 + 当前库的表结构被 phpMyAdmin 主动读取过。只关一个没用。
- 编辑
config.inc.php，确保这两行不存在或被注释：$cfg['SQLQuery']['CodeMirrorEnable'] = true;和$cfg['SQLQuery']['EditInline'] = true; - 添加显式禁用配置：
$cfg['SQLQuery']['CodeMirrorEnable'] = false;（设为false比不设更稳妥，新版默认值可能因环境变化） - 关键一步：加
$cfg['Servers'][$i]['DisableIS'] = true;（i是服务器索引，如1）。这会阻止 phpMyAdmin 查询information_schema获取表/字段列表，没了元数据，补全就成空壳
阻止浏览器端自动填充暴露字段语义
即使后端不返回表名，浏览器也可能根据 input 的 name、placeholder 或历史提交记录推测字段用途，辅助攻击者反推结构。
- 在登录页和 SQL 表单里，把敏感字段的
name改成无意义字符串，例如把name="table"改成name="qz9x2" - 所有
<input>标签强制设autocomplete="new-password"（Chrome 最买账），别用"off"—— 它已被主流浏览器忽略 - 删掉或模糊
placeholder，例如不写“输入表名”，改写“请输入内容”
清除已有缓存并验证是否真正失效
phpMyAdmin 会把表结构缓存在 session 或临时目录，旧缓存不清，补全仍可能弹出。
- 清空浏览器缓存（特别是 Service Worker 和 JS 缓存），再硬刷新页面
- 重启 PHP-FPM 或 Apache/Nginx（非必须，但可确保配置重载和 session 清理）
- 手动验证：登录后，打开任意数据库 → 点击“SQL”标签页 → 输入
SELECT * FROM并按空格或 Ctrl+Space，确认无下拉提示；同时检查 Network 面板，不应出现对tbl_get_fields或sql.php?ajax_request=1的请求
最易被忽略的是 DisableIS 这个开关——很多人只关 CodeMirror，却忘了表结构元数据才是补全的源头。只要 information_schema 查询开着，哪怕补全界面不弹，后台仍可能返回字段列表供前端渲染。
