Apache默认禁止访问phpMyAdmin的config.inc.php是因Directory块中Require all denied等安全策略主动拦截，非bug；须用Alias+显式Directory授权替代.htaccess，并正确配置PmaAbsoluteUri、CookiePath和session路径。
不能直接把 phpmyadmin 解压到 /var/www/html/phpmyadmin 就完事——apache 默认会拒绝执行其内部的 config.inc.php，且重写规则、cookie 路径、session 配置全都会错乱。
为什么 Apache 默认禁止访问 phpMyAdmin 的配置文件
phpMyAdmin 的 config.inc.php 位于根目录下，Apache 的默认安全策略（尤其是 Directory 块中 Require all denied 或 Deny from all）会直接拦截对这类敏感文件的请求，返回 403。这不是 bug，是故意设计。
- 检查你的 Apache 配置里是否包含类似
<Directory /var/www/html/phpmyadmin> Require all denied </Directory>—— 这是常见陷阱 - phpMyAdmin 本身在
index.php开头就做了is_file(__DIR__ . '/config.inc.php')判断，但前提是 Web 服务器允许 PHP 读取该文件；而 403 拦截发生在 PHP 执行前 - 解决办法不是删配置，而是显式授权：用
<Directory>块放行必要路径，并禁用AllowOverride None（否则.htaccess不生效）
子目录部署必须改的三个核心配置项
仅靠解压和改名远远不够。phpMyAdmin 启动时会根据当前 URL 自动推导路径，若没手动干预，它会误判 $cfg['PmaAbsoluteUri']、$cfg['CookiePath'] 和 session 存储位置，导致登录后跳转 404、反复要求登录、或 JS 加载失败。
-
$cfg['PmaAbsoluteUri'] = 'https://example.com/phpmyadmin/';—— 必须以斜杠结尾，且协议+域名+子路径全写死；不设或设错会导致所有链接生成为/index.php?...（根路径）而非/phpmyadmin/index.php?... -
$cfg['CookiePath'] = '/phpmyadmin/';—— 否则登录态 cookie 会被浏览器按根域发送，phpMyAdmin 在子目录里收不到，表现为“输入密码后页面刷新回登录页” -
session.save_path推荐显式指定（如/var/lib/php/sessions-pma），避免和主站 session 冲突；尤其当主站也用 PHP session 且路径未隔离时，会互相覆盖失效
Apache 的 Alias + <Directory> 是最稳方案
不要依赖 .htaccess，也不要用符号链接。Apache 官方文档明确建议对 phpMyAdmin 使用显式 Alias 配置，既安全又可预测。
- 在
/etc/apache2/conf-available/phpmyadmin.conf（Debian/Ubuntu）或/etc/httpd/conf.d/phpmyadmin.conf（RHEL/CentOS）中写：
Alias /phpmyadmin /usr/share/phpmyadmin
<Directory /usr/share/phpmyadmin>
Options FollowSymLinks
DirectoryIndex index.php
Require all granted
<FilesMatch \.php$>
SetHandler application/x-httpd-php
</FilesMatch>
</Directory>
<Directory /usr/share/phpmyadmin/templates>
Require all denied
</Directory>
<Directory /usr/share/phpmyadmin/libraries>
Require all denied
</Directory>
- 注意：
/usr/share/phpmyadmin是 Debian 系包安装路径；源码解压则换成你的真实路径（如/var/www/phpmyadmin），并确保该路径下config.inc.php已存在且权限为644 - 重启 Apache 后，访问
https://example.com/phpmyadmin/（末尾斜杠不能省），首次加载会提示“缺少配置文件”，此时才需要手动生成或复制config.sample.inc.php并编辑
PHP 的 open_basedir 和 disable_functions 容易卡住部署
很多生产环境为安全禁用了 exec、shell_exec 或设置了严格的 open_basedir，这会导致 phpMyAdmin 的某些功能（如导入超大 SQL、调用 gzip/bzip2、查看服务器信息）直接报错或空白，但登录界面仍能显示——容易误判为部署成功。
立即学习“PHP免费学习笔记（深入）”；
- 检查错误日志：
tail -f /var/log/apache2/error.log，留意类似PHP Warning: exec() has been disabled for security reasons - 若启用了
open_basedir，需把 phpMyAdmin 所在路径加进去，例如：open_basedir = /var/www/:/usr/share/phpmyadmin/:/tmp/ -
disable_functions至少要保留escapeshellarg,escapeshellcmd,proc_open,passthru（导入导出依赖这些），但不建议全开；更稳妥的做法是关闭 phpMyAdmin 的外部工具检测（设$cfg['ExecTimeLimit'] = 0;并禁用相关功能开关）
子目录部署真正的难点不在路径拼接，而在 cookie 域、session 上下文、PHP 扩展限制这三者的隐式耦合——任何一个没对齐，都会让登录看起来“几乎成功”，实则无法维持状态。动手前先确认 $_SERVER['REQUEST_URI'] 在子目录下是否正确输出 /phpmyadmin/index.php，这是最快速的验证点。
