“生产库标红”不等于防误操作，单纯UI加红色banner只能提醒不能阻止；真正防护需将视觉提示与操作权限、执行路径强绑定，如禁用phpMyAdmin生产环境的删除/DDL按钮、限制账号仅SELECT权限、强制SQL预览、网络隔离及连接命名不可篡改。
为什么“生产库标红”不等于防误操作
单纯在 ui 上加个红色 banner（比如通过 env-bar css）只能提醒，不能阻止。真正出事的场景往往是：人眼扫过红色标签、手却点进了“执行”按钮；或者复制了开发环境的 sql，在生产库粘贴后忘了改 where 条件。视觉提示必须和操作权限、执行路径强绑定，否则就是假防护。
禁用生产环境的写操作入口
不是靠用户自觉，而是让 phpMyAdmin 在生产连接下根本无法渲染“删除”“修改结构”“执行无条件 UPDATE”这类按钮。
-
$cfg['Servers'][$i]['DisableIS'] = true;—— 关闭 information_schema 探测，防止自动补全或元数据泄露 -
$cfg['ShowDatabasesCommand'] = 'SHOW DATABASES WHERE `Database` NOT IN ("mysql", "information_schema", "performance_schema", "sys")';—— 隐藏系统库，减少误点可能 - 显式禁用 DDL 和写功能：
$cfg['AllowUserDropDatabase'] = false;、$cfg['Export']['disable_save'] = true;、$cfg['SQLQuery']['Edit'] = false; - 最关键的一步：把生产库的
$cfg['Servers'][$i]['auth_type']设为'config'，但账号本身只给SELECT+SHOW权限 —— 即使配置被绕过，DB 层也拒绝执行
强制 SQL 预览与禁止直接执行
phpMyAdmin 的“SQL”页默认允许直接运行任意语句，这是最危险的入口。必须切断这个通路。
- 在 config.inc.php 中设：
$cfg['SQLQuery']['ShowAsPhp'] = false;、$cfg['SQLQuery']['Validate'] = true; - 启用
$cfg['SQLQuery']['RememberHistory'] = false;—— 防止历史命令一键重放 - 最关键的是：设置
$cfg['SQLQuery']['DirectQuery'] = false;，这样所有 SQL 都必须先点“预览”，再手动切换到“执行”页，中间多一道确认 - 如果用的是较新版本（4.9+），可配合
$cfg['SQLQuery']['AsSeparateTab'] = true;，让预览结果单独开页，避免滚动错觉
连接命名 + 网络隔离才是第一道防线
别依赖“人看名字判断”，要让连错这件事在技术上就不可行。
- 在
$cfg['Servers'][1]（生产）里写死host为内网 VIP 或私有 DNS 名（如db-prod.internal），绝不填公网 IP 或localhost - 用 Docker 或 Nginx 反代时，只对生产连接开放特定源 IP 段（如运维跳板机），其他来源直接 403 —— 连都连不上，自然不会误操作
- phpMyAdmin 登录页显示的服务器名称（
$cfg['Servers'][$i]['verbose']）必须包含明确语义，例如："PROD - 主库 (r/w) - 仅授权人员"，且该字段不可编辑、不可被客户端篡改 - 如果混用本地容器和云端 DB，绝对不要启用
$cfg['AllowArbitraryServer'] = true;—— 它等于把生产库地址暴露在登录表单里，一次误输就是事故
真正难防的不是“手快”，而是“路径依赖”：开发时习惯 Ctrl+Enter 执行，上线后肌肉记忆还在。所以加固重点不在教育人，而在重构操作链——让危险动作必须跨页、跨权限、跨网络才能完成。
立即学习“PHP免费学习笔记（深入）”；
