phpMyAdmin 本身不支持限制导出路径，其导出功能在浏览器端流式完成，不写入服务端磁盘；真正限制路径的是 MySQL 的 secure_file_priv 参数，需在 my.cnf 中配置并重启生效。
phpMyAdmin 本身不支持限制导出路径
phpmyadmin 没有内置配置项或安全策略能强制将 select ... into outfile 或导出功能生成的文件写入指定服务器目录。它的“导出”操作默认在浏览器端完成：数据经 php 处理后直接流式返回给客户端，不落地到服务端磁盘——所以根本不存在“服务端导出路径”可被限制。
唯一会真正写入服务端文件系统的，是用户手动执行 SELECT ... INTO OUTFILE 这类 SQL 语句，而这依赖 MySQL 服务自身的权限与配置，和 phpMyAdmin 无关。
真正需要控制的是 MySQL 的 secure_file_priv
如果你担心用户通过 phpMyAdmin 执行 INTO OUTFILE 把文件写到任意位置，必须从 MySQL 层面限制。MySQL 5.7+ 默认启用 secure_file_priv，它决定 LOAD DATA INFILE 和 SELECT ... INTO OUTFILE 能读写的唯一目录。
检查当前值：
SHOW VARIABLES LIKE 'secure_file_priv';
若返回 /var/lib/mysql-files/ 或具体路径，说明已受限；若为 NULL 或空字符串，则完全开放（极度危险）。
立即学习“PHP免费学习笔记（深入）”；
修改方法（需重启 MySQL）：
- 编辑
my.cnf（如/etc/mysql/my.cnf），在[mysqld]下添加：
secure_file_priv = "/var/www/export/"
- 确保该目录存在、属主为
mysql用户、且有写权限 - 重启 MySQL：
sudo systemctl restart mysql
此后所有 INTO OUTFILE 只能写入该目录，否则报错：The MySQL server is running with the --secure-file-priv option so it cannot execute this statement。
phpMyAdmin 导出按钮不会绕过 secure_file_priv
点击“导出”→“自定义”→勾选“保存为文件”，这只是触发浏览器下载，PHP 后端用 fopen('php://output', 'w') 流式输出，不调用 INTO OUTFILE，也不受 secure_file_priv 影响。
但要注意一个混淆点：如果导出格式选了 “CSV using LOAD DATA”，phpMyAdmin 会生成一段含 LOAD DATA INFILE 的 SQL，这语句执行时才受 secure_file_priv 约束——而该语句通常由用户手动复制粘贴运行，并非自动执行。
所以实际风险只存在于：用户拥有 MySQL FILE 权限 + secure_file_priv 未设为非空目录 + 主动执行危险 SQL。
别试图用 phpMyAdmin 配置伪造“固定导出路径”
有人想改 config.inc.php 里的 $cfg['SaveDir']，这是误解。该配置仅用于“导入”功能：指定 phpMyAdmin 从哪个服务端目录读取待导入的 SQL 文件，对“导出”无任何作用。
同理，$cfg['TempDir'] 是临时缓存目录，不影响最终导出行为；强行限制其权限只会导致导出失败，报错类似：Cannot write into directory specified by $cfg['TempDir']。
真正的防线只有两层：MySQL 的 secure_file_priv + 剥夺普通用户的 FILE 权限（REVOKE FILE ON *.* FROM 'user'@'%';）。
路径限制这件事，不在 phpMyAdmin 的控制范围内，硬要在它身上找开关，反而会忽略真正起效的 MySQL 级配置。
