phpMyAdmin 从4.9.0起默认禁用URL参数登录，关键配置是$cfg['AllowArbitraryServer'] = false；若为true则允许通过?username=、?password=等参数绕过登录页，构成严重安全隐患。
phpMyAdmin 默认允许 URL 参数登录，这是安全隐患
phpmyadmin 从 4.9.0 开始默认禁用 ?server=、?username=、?password= 这类 url 参数自动登录，但若你用的是旧版本（如 4.8.x 或更早），或手动启用了 $cfg['allowarbitraryserver']，就可能被绕过登录页直接注入凭证——攻击者构造类似 http://your-site/pma/index.php?username=root&password=123 的链接即可尝试爆破。
关闭 URL 参数登录的关键配置是 $cfg['AllowArbitraryServer']
这个开关控制是否允许通过 URL 指定服务器、用户名、密码等任意参数。只要它为 true，即使其他限制存在，URL 登录仍可能生效。
你需要编辑 phpMyAdmin 的主配置文件（通常是 config.inc.php，位于 phpMyAdmin 根目录或 /etc/phpmyadmin/config.inc.php）：
$cfg['AllowArbitraryServer'] = false;
如果该行不存在，就添加进去；如果已存在且值为 true 或 1，务必改为 false。改完后重启 Web 服务（如 systemctl restart apache2 或 systemctl restart nginx php-fpm）并清空浏览器缓存再测试。
常见疏漏点：
立即学习“PHP免费学习笔记（深入）”；
-
$cfg['AllowArbitraryServer']可能被写在条件块里（比如只对 localhost 生效），要确认它在全局作用域生效 - 某些一键包（如 XAMPP、AMPPS）会把配置分散到多个文件，需检查是否被
include覆盖 - 如果使用 Nginx，注意是否通过
fastcgi_param透传了原始 QUERY_STRING，虽不直接影响 phpMyAdmin 逻辑，但会暴露参数到访问日志
配合禁用 $cfg['LoginCookieRecall'] 防止凭据残留
虽然这不是 URL 传递问题，但和登录安全强相关：当 $cfg['LoginCookieRecall'] = true 时，phpMyAdmin 会在 Cookie 中明文存储上次登录的用户名（非密码），结合 URL 参数可能降低爆破门槛。
建议一并设为：
$cfg['LoginCookieRecall'] = false;
这样即使用户勾选“记住用户名”，也不会写入 Cookie，且能避免前端 JavaScript 误读 document.cookie 泄露信息。
验证是否真正生效：手工构造 URL 测试
改完配置后，不要只信“看起来登不上”，必须主动验证：
- 访问
http://your-pma-domain/index.php?username=test&password=xxx（注意用&转义 &） - 观察是否跳转到标准登录页（而非直接报错或进入界面）
- 查看响应头中是否有
Location: ./index.php?route=/类重定向，说明 URL 参数已被丢弃 - 打开开发者工具 → Network，确认登录请求的 POST 数据里没有从 URL 继承的字段
最容易被忽略的是配置加载顺序——如果你用的是 Debian/Ubuntu 的 phpMyAdmin 包，主配置可能被 /etc/phpmyadmin/conf.d/ 下的片段覆盖，$cfg['AllowArbitraryServer'] = false 必须出现在最终合并后的配置里才起效。
