直接禁用主题管理器是最有效的方式，需在config.inc.php中显式设置$cfg['ThemeManager'] = false;并锁定themes目录权限、清空非default子目录，否则仅设$cfg['ThemeDefault']无法阻止URL参数强制加载主题。
直接禁用主题管理器是最有效的方式
phpmyadmin 的主题切换功能由 $cfg['thememanager'] 控制，设为 false 后，整个 ui 顶部的主题选择下拉框会消失，且所有动态加载主题的逻辑（包括 js 初始化、css 切换钩子）都会被跳过。这不是视觉隐藏，而是彻底移除功能入口。
常见错误现象：只改 $cfg['ThemeDefault'] 或删掉其他主题目录，但没关 ThemeManager——用户仍可通过 URL 参数（如 ?theme=pmahomme）强制加载，尤其当 config.inc.php 中残留旧配置时。
- 必须在
config.inc.php中显式写入：$cfg['ThemeManager'] = false; - 该配置需放在
$cfg['Servers']定义之后、?>之前，否则可能被忽略 - PHP 8.2+ 下若主题目录中
theme.json缺"name"字段，即使ThemeManager关闭，控制台仍会报Undefined array key "name"，建议清空或锁定themes/目录权限
锁定 themes 目录防止绕过
关闭 ThemeManager 只能阻止 UI 切换，但无法杜绝通过修改 URL、注入 JS 或上传恶意主题文件来加载非默认样式。真正安全的做法是让服务器拒绝执行任何与主题相关的动态行为。
使用场景：你部署的是共享主机环境，或多人可访问 phpMyAdmin 文件系统——哪怕主题切换按钮没了，攻击者仍可能上传含 PHP 的主题文件并触发解析。
- 执行
chmod -w themes/，确保 Web 进程无写权限 - 删除
themes/下除default/外的所有子目录（如pmahomme/、metro/），保留一个最小、干净的默认主题 - 检查
themes/default/theme.json是否存在且字段完整（"name"、"compat_version"必须匹配当前 phpMyAdmin 版本） - 若用 Nginx/Apache，可额外加规则禁止访问
/themes/.*\.php$，防文件上传后被解析
为什么不能靠 $cfg['ThemeDefault'] 单独实现禁止切换
$cfg['ThemeDefault'] 只决定登录后默认加载哪个主题，并不约束用户是否能换。只要 ThemeManager 开启，phpMyAdmin 就会在 session 中缓存用户上次选的主题，并在每次请求时读取 $_GET['theme'] 或 cookie 值进行覆盖。
立即学习“PHP免费学习笔记（深入）”；
性能影响很小，但安全隐患明确：攻击者构造 /phpmyadmin/index.php?theme=..%2F..%2Fetc%2Fpasswd 类似路径（虽 phpMyAdmin 有基础过滤，但旧版本或定制主题可能绕过），或利用未清理的第三方主题中的 PHP 模板片段执行任意代码。
-
$cfg['ThemeDefault'] = 'default';是必要但不充分条件 - 如果误将
$cfg['ThemePath']设为相对路径（如'./themes'），可能导致主题加载失败，但ThemeManager仍可用 - 某些老旧版本（如 4.x）中，
ThemeManager默认为false，升级到 5.2+ 后需手动确认是否被重置为true
验证是否真正禁用成功
做完配置后，别只看界面有没有下拉框——要测试真实行为是否被切断。最容易被忽略的是缓存和 session 残留。
操作步骤：
- 清空浏览器缓存 + 强制刷新（
Ctrl+F5），避免旧 JS 脚本仍在运行 - 登出再登录，检查 URL 是否还带
?theme=xxx参数 - 打开开发者工具 → Network 标签，筛选
css请求，确认只加载了themes/default/css/theme.css，没有其他主题路径 - 尝试手动访问
/phpmyadmin/index.php?theme=pmahomme（假设该主题曾存在），应返回 404 或继续显示 default 主题，而非加载对应样式
真正禁用成功的标志是：既看不到切换入口，也找不到任何服务端响应主题切换逻辑的痕迹——连错误日志都不该出现 theme 相关的 warning 或 notice。
