phpMyAdmin的HttpOnly通过PHP底层session.cookie_httponly=1配置生效，依赖php.ini设置并重启服务，反向代理需确保HTTPS标识正确，最终以Set-Cookie响应头含HttpOnly为准。
phpMyAdmin 的 HttpOnly 是怎么生效的
phpmyadmin 本身不直接控制 cookie 的 httponly 属性，它依赖 php 的 session 配置和底层 web 服务器行为。真正起作用的是 php 的 session.cookie_httponly 设置，以及（可选）setcookie() 调用时显式传入的参数。phpmyadmin 启动 session 后，所有会话 cookie（如 phpmyadmin、phpbb2mysql 等）都受该全局配置影响。
修改 php.ini 是最稳妥的方式
在 phpMyAdmin 运行的 PHP 环境中，打开对应的 php.ini 文件（可通过 phpinfo() 查看“Loaded Configuration File”路径），找到并修改以下两行：
-
session.cookie_httponly = 1—— 必须设为1或On，不能写true或字符串"true" -
session.cookie_secure = 1—— 仅当部署在 HTTPS 下才建议开启；HTTP 环境下设为1会导致 Cookie 不被浏览器保存
改完后重启 Web 服务（Apache/Nginx + PHP-FPM）。验证方式：登录 phpMyAdmin 后，打开浏览器 DevTools → Application → Cookies，检查 phpMyAdmin 这个 Cookie 是否带 HttpOnly 标志（无 JS 可读图标）。
通过 config.inc.php 无法设置 HttpOnly
很多人误以为编辑 /var/www/html/phpmyadmin/config.inc.php 或 WAMP 下的同名文件能控制 Cookie 安全属性——实际上，这个文件只管数据库连接、界面选项、认证方式等业务逻辑，**完全不参与 Cookie 头生成**。它既不调用 setcookie()，也不覆盖 PHP 的 session 配置。强行在里面加 ini_set('session.cookie_httponly', 1) 也无效，因为 phpMyAdmin 在初始化 session 前就已读取了配置。
反向代理环境下容易漏掉的关键点
如果你用 Nginx 或 Cloudflare 做反代，且后端 PHP 实际跑在 HTTP 环境（比如容器内未暴露 HTTPS），但用户访问的是 HTTPS 地址，那么：
立即学习“PHP免费学习笔记（深入）”；
- PHP 可能因未识别
X-Forwarded-Proto而误判协议，导致session.cookie_secure = 1生效失败 - 此时必须在 PHP 中设置
$_SERVER['HTTPS'] = 'on'或启用opcache.revalidate_path=0并配合fastcgi_param HTTPS on;（Nginx） - HttpOnly 不受影响，但 Secure 若失效，会连带让浏览器拒绝存储整个 Cookie，表现为登录后立即跳回登录页
最终是否生效，只看响应头里的 Set-Cookie 字段有没有 HttpOnly；别的地方再怎么配，只要头里没它，就是没生效。
