直接限制访问IP比改路径、加密码更有效，因防火墙在TCP握手阶段拒绝连接，不消耗Web资源、不触发日志、不受应用层配置失效影响；而Apache的Require ip或PHP的$_SERVER['REMOTE_ADDR']判断发生在请求已进入Web服务之后，存在被绕过和资源消耗风险。
直接限制访问ip比改路径、加密码更有效——只要防火墙规则配对，phpmyadmin 就不会被扫描器发现，也不会被爆破。
为什么只靠Apache配置限制IP不够可靠
Apache 的 Require ip 或 PHP 层面的 $_SERVER['REMOTE_ADDR'] 判断，都发生在请求已进入 Web 服务之后。攻击者仍能发起连接、消耗资源、触发日志写入，甚至利用早期解析漏洞（如 CVE-2021-41773 类路径遍历）绕过应用层判断。
- Windows 防火墙是内核级过滤，连接在 TCP 握手阶段就被拒绝，不产生应用日志、不占用 PHP 进程
- 即使 Apache 配置被误注释、
config.inc.php被覆盖或权限失控，防火墙规则依然生效 - 无需重启 IIS/Apache，规则修改后立即生效
创建仅允许指定IP的入站规则（PowerShell 一键执行）
在管理员权限的 PowerShell 中运行以下命令，替换 192.168.1.100 为你实际允许的运维IP（支持逗号分隔多个IP或CIDR）：
netsh advfirewall firewall add rule name="Allow phpMyAdmin from Admin IPs" dir=in action=allow protocol=TCP localport=80,443 remoteip=192.168.1.100/32 enable=yes profile=any
关键点：
-
localport=80,443：匹配你实际提供phpmyadmin的端口（若用非标端口如 8080，必须显式加入） -
remoteip=...必须精确到 /32（单IP）或合法 CIDR，不能写成192.168.1.*—— Windows 防火墙不识别通配符 - 不要依赖
profile=domain：生产环境常为“专用网络”或“公用网络”，profile=any更稳妥
必须配套阻断公网访问（防漏配）
仅加白名单不保险。一旦运维IP变动、临时开放测试，旧规则可能残留。务必再加一条明确拒绝公网的兜底规则：
立即学习“PHP免费学习笔记（深入）”；
netsh advfirewall firewall add rule name="Block phpMyAdmin from Internet" dir=in action=block protocol=TCP localport=80,443 remoteip=0.0.0.0-255.255.255.255 enable=yes profile=public
注意：
-
profile=public确保该规则仅在公网场景激活，不影响内网调试 - 这条规则优先级低于上一条（因添加顺序靠后），但
action=block在 Windows 防火墙中具有更高匹配权重 - 若你使用 HTTPS，且
phpmyadmin部署在 443 端口，这条规则就直接封死所有非授权公网连接
验证规则是否真正生效
别只看 netsh show 输出——那只是配置记录。真实效果要靠连接测试：
- 从允许的IP（如办公室电脑）用浏览器访问
http://your-server-ip/phpmyadmin，应正常加载登录页 - 从另一台未授权设备（如手机热点下的笔记本）尝试访问，浏览器应卡在“正在连接…”或直接报 ERR_CONNECTION_TIMED_OUT（不是 403！超时才说明防火墙生效）
- 检查 Windows 事件查看器 → 安全日志，筛选 ID 5152（被阻止的连接），确认有对应源IP和端口记录
最易忽略的是：WAMP/XAMPP 用户常把 phpmyadmin 放在 localhost-only 的 Apache 配置里，却忘了 Windows 防火墙默认放行本地回环。此时规则对本机无效，必须额外加 remoteip=127.0.0.1 才能限制本地访问 —— 除非你真需要本地开发调试。
