phpMyAdmin 无法通过自身配置实现 IP 白名单，必须由 Web 服务器（Nginx/Apache）或防火墙在请求入口层拦截；所有 PHP 层面的白名单逻辑均易被绕过，且内部配置项仅影响登录后行为，不参与访问控制。
phpmyadmin 本身不提供 ip 白名单功能，必须依赖 web 服务器（如 nginx 或 apache）或网络层（如防火墙）实现。直接在 config.inc.php 里加判断几乎无效，且容易被绕过。
为什么不能靠 $cfg['Servers'][$i]['AllowRoot'] 或 blowfish_secret 控制访问权限
这些配置项只影响登录后行为（比如是否允许 root 登录、加密 cookie），对未登录请求完全无拦截能力。攻击者可直接发起 /phpmyadmin/index.php 请求，绕过所有 phpMyAdmin 内部逻辑。
-
$cfg['Servers'][$i]['host']和$cfg['Servers'][$i]['port']只用于连接后端 MySQL，不影响前端访问控制 -
$cfg['Servers'][$i]['auth_type'] = 'cookie'或'http'仅决定登录方式，不校验来源 IP - 任何基于 PHP 的白名单（例如在
index.php开头写if (!in_array($_SERVER['REMOTE_ADDR'], $whitelist)) die();）都可能被 FastCGI 缓存、代理头伪造或路径遍历绕过
Nginx 下用 allow/deny 精确限制 phpMyAdmin 路径
这是最常用也最可靠的做法，要求 phpMyAdmin 部署在独立子路径（如 /phpmyadmin/），且 Nginx 版本 ≥ 1.11.0（支持 geo 指令更灵活）。
- 确保 phpMyAdmin 的 location 块不被其他通配规则覆盖（例如
location ~ \.php$不能优先于它） - 使用
allow+deny all组合，顺序不能颠倒；否则所有请求都会被拒绝 - 若服务器在反向代理后（如 Cloudflare、Nginx 前置代理），需启用
real_ip模块并设置set_real_ip_from，否则$remote_addr是代理 IP
示例配置片段：
location /phpmyadmin/ {
root /usr/share;
index index.php;
allow 203.0.113.42;
allow 2001:db8::1;
deny all;
location ~ \.php$ {
include snippets/fastcgi-php.conf;
fastcgi_pass unix:/run/php/php8.1-fpm.sock;
}
}
Apache 用 Require ip 替代已废弃的 Order Allow,Deny
Apache 2.4+ 必须用 Require 指令，旧写法（Allow from）在启用 mod_authz_core 后直接失效，返回 403 但日志无提示。
立即学习“PHP免费学习笔记（深入）”；
- 白名单需写在
<Directory>或<Location>块内，且该路径必须与实际 DocumentRoot 对应 - IPv6 地址要加方括号：如
Require ip "2001:db8::1" - 若使用 .htaccess，需确认
AllowOverride AuthConfig已启用，否则指令被忽略
示例（在虚拟主机或主配置中）：
<Location "/phpmyadmin">
Require ip 203.0.113.42
Require ip 2001:db8::1
</Location>
多服务器环境下的关键陷阱：不要复用同一份白名单配置
不同服务器的出口 IP、运维人员办公 IP、跳板机地址往往不同。硬编码 IP 列表会导致某台机器突然无法访问，排查时容易误判为 phpMyAdmin 配置问题。
- 建议用变量或外部文件管理 IP 列表（Nginx 支持
include，Apache 支持Include），避免人工同步遗漏 - 若用 Ansible/Terraform 部署，把白名单作为 host_var 注入，而非全局 template
- 特别注意 NAT 环境：开发团队共用一个公网 IP，但该 IP 可能被其他部门共享，临时封禁会影响非预期服务
真正起作用的永远是第一道网关——不是 phpMyAdmin，也不是 PHP，而是你最先碰到的那个 HTTP 服务器或防火墙规则。漏掉这一层，后面所有加固都是幻觉。
