phpMyAdmin无法通过$cfg['SaveLogin']禁用浏览器密码保存，因该配置仅控制Cookie登录态缓存；真正有效的是在登录表单密码输入框添加autocomplete="new-password"并清空浏览器缓存，同时需检查Docker或一键包环境中的真实模板路径。
phpmyadmin 本身没有独立的“保存查询密码”开关，所谓“记住密码”行为完全由浏览器控制——禁用它必须从客户端策略和服务器配置双端入手，单改某一处大概率失效。
为什么改了 $cfg['SaveLogin'] 还会弹出密码保存提示？
因为浏览器密码管理器（Chrome、Firefox 等）根本不读取 phpMyAdmin 的 PHP 配置，它只看 HTML 表单的 autocomplete 属性和域名历史。即使你设了 $cfg['SaveLogin'] = false;，只要登录表单仍含 name="pma_password" 且没禁用自动填充，浏览器就照存不误。
-
$cfg['SaveLogin']只影响 phpMyAdmin 是否在 cookie 中缓存登录态，和浏览器密码保存无关 - 该配置默认为
true，设为false后用户每次都要重输账号密码，但浏览器仍可能弹窗问“是否保存？” - 若你用的是
auth_type = 'cookie'，$cfg['SaveLogin']才生效；若为'http'或'signon'，此配置被忽略
真正禁用浏览器密码保存的实操方式
必须在登录表单层下手，让浏览器明确知道“别存这个字段”。编辑 phpMyAdmin 源码中登录模板（通常为 templates/login/header.twig 或 libraries/display_login_form.lib.php），找到密码输入框，强制添加 autocomplete="new-password"：
<input type="password" name="pma_password" autocomplete="new-password" />
- 不要用
autocomplete="off"—— 现代浏览器（Chrome 76+、Firefox 70+）已无视该值 -
autocomplete="new-password"是唯一被广泛支持的、能有效阻止密码保存的值 - 若使用自定义主题或 CDN 加载的 JS 覆盖了表单，需同步检查
login.js是否重写了autocomplete - 改完后清空浏览器缓存并硬刷新（Ctrl+Shift+R），否则旧 HTML 缓存仍生效
配合服务端强化：关闭自动登录与会话残留
光拦住浏览器还不够。若用户曾用弱密码登录过，且服务端未清理残留凭证，攻击者可能通过其他路径复用会话。
- 确认
$cfg['Servers'][$i]['auth_type']不是'config'—— 该模式会把密码明文写进config.inc.php，本质就是“永久保存密码” - 设
$cfg['LoginCookieRecall'] = false;，防止 cookie 自动回填账号（注意：这和浏览器密码保存无关，但能减少一次输入机会） - 缩短登录有效期：
$cfg['LoginCookieValidity'] = 1800;（30 分钟），避免长期会话被劫持 - 若部署在 Nginx/Apache，加响应头禁止密码保存：
Header set Content-Security-Policy "form-action 'self';"（虽不能阻止保存，但可防表单被第三方脚本劫持）
最易被忽略的点：改完模板后，Docker 或一键包环境常有多个 templates/ 目录，真实生效的是 /usr/share/phpmyadmin/templates/ 而非 Web 根目录下的副本；没改对位置，等于白忙活。
立即学习“PHP免费学习笔记（深入）”；
