config.inc.php 最危险的泄露路径是 Web 直接可访问，需检查响应头、物理路径、服务器配置禁止访问；其次防范硬编码凭证、Git/备份/日志泄露及权限过度宽松，三者叠加才构成高危风险。
config.inc.php 是否被 Web 服务器直接可访问
这是最常见也最危险的泄露路径——只要文件放在 /var/www/html/phpmyadmin/ 这类 web 根目录下，且 php 解析失败（比如模块崩溃、.php 后缀未注册），浏览器请求 /phpmyadmin/config.inc.php 就会原样返回明文，数据库密码、加密密钥全裸奔。
实操建议：
- 立刻用
curl -I http://yoursite.com/phpmyadmin/config.inc.php检查响应头：如果返回200 OK且Content-Type: text/plain或类似，说明已暴露 - 确认该文件物理路径是否在 Web root 内：Apache 看
DocumentRoot，Nginx 看root指令，config.inc.php必须在它们的上层目录（如/usr/share/phpmyadmin/是安全的，/var/www/html/phpmyadmin/是高危的） - 在 Web 服务器配置中显式禁止访问：
location ~ ^/phpmyadmin/.*\.inc\.php$ { return 403; }（Nginx）或<Files "config.inc.php"> Require all denied </Files>（Apache）
config.inc.php 里是否硬编码了数据库密码或密钥
即使文件不可直接下载，若内容本身包含明文凭证，一旦通过其他漏洞（如任意文件读取、日志泄露、错误回显）被间接获取，风险依旧存在。尤其注意 $cfg['Servers'][$i]['password'] 和 $cfg['blowfish_secret'] 这两个字段。
实操建议：
- 检查
$cfg['Servers'][$i]['password']是否为空或设为''：非必要不填，改用 MySQL socket 认证或系统级 auth_socket 插件 -
$cfg['blowfish_secret']必须是 32 字符以上随机字符串，不能是'cookie'、'phpmyadmin'这类默认值；生成命令：openssl rand -base64 32 | tr -d '\n'; echo - 避免在配置中写
define('DB_PASS', 'xxx')或$_ENV['DB_PASS']—— 这些变量可能被其他 PHP 脚本意外输出，应统一由环境变量注入，并在config.inc.php中只做引用
config.inc.php 是否被 Git / 备份 / 日志意外带出
开发或部署过程中，config.inc.php 很容易被误提交进 Git 仓库、打包进 Docker 镜像、或随错误日志一起落盘。这类泄露不依赖 Web 访问，但传播更快、更难追溯。
立即学习“PHP免费学习笔记（深入）”；
实操建议：
- 检查 Git 历史：
git log --oneline --grep="config.inc" --all，再用git grep -n "blowfish\|password" HEAD扫当前分支 - Docker 构建时确认未 COPY 整个 phpMyAdmin 目录：
RUN find / -name "config.inc.php" 2>/dev/null在镜像内执行，结果应为空 - 查看 Web 错误日志（
/var/log/apache2/error.log或/var/log/nginx/error.log）是否曾记录过config.inc.php的解析错误——这类错误常附带文件绝对路径，暴露部署结构
config.inc.php 权限与所属用户是否过度宽松
Linux 文件权限不当会让同服务器其他用户（或被入侵的低权 Web 进程）读取该文件。常见错误是 chmod 644 config.inc.php 或属主设为 www-data:www-data。
实操建议：
- 权限必须为
600：chmod 600 /usr/share/phpmyadmin/config.inc.php（仅属主可读写） - 属主应为管理用户（如
root或运维专用账号），而非 Web 进程用户（www-data、nginx） - 检查 SELinux 或 AppArmor 是否放行：CentOS/RHEL 上运行
ls -Z /usr/share/phpmyadmin/config.inc.php，确保上下文类型是httpd_sys_content_t而非etc_t
curl -I 和 ls -l 双重验证，别信“应该没问题”。 
