Docker Secrets 不能用于独立 phpMyAdmin 容器，仅支持 Swarm Service 模式；需满足 Swarm 初始化、service 创建、secret 预置及应用主动读取四条件；非 Swarm 场景推荐反代认证、只读容器+tmpfs 或加密卷方案。
docker secrets 不能直接用于 phpmyadmin 容器，除非它作为 swarm service 运行。 独立容器（docker run）完全不支持 docker secret，强行挂载 /run/secrets/ 路径只会得到空目录或权限错误——这不是配置问题，是机制限制。
为什么 phpMyAdmin 容器通常用不了 Docker Secret
phpMyAdmin 官方镜像默认以单体 Apache 进程启动，绝大多数部署场景用的是 docker run 或 Compose v2/v3（非 Swarm 模式）。而 docker secret 是 Swarm 原生特性，依赖 Raft 日志和 manager 节点调度，只对 docker service create 生效。
常见误操作包括：
- 在 Compose 文件里写了
secrets:却没启用 Swarm 模式（docker-compose up会静默忽略） - 用
docker run --secret—— 该参数根本不存在，命令直接报错 - 手动
mount -t tmpfs模拟 /run/secrets —— 容器内 PHP 进程无权读取，且重启即丢
Swarm 模式下让 phpMyAdmin 用上 Secret 的硬性条件
必须同时满足以下四点，缺一不可：
- 集群已初始化为 Swarm（
docker swarm init），且当前节点是 manager - phpMyAdmin 启动方式为
docker service create，不是docker run - Secret 已预先创建：
echo "my_pma_pass" | docker secret create pma_password - - 容器内应用主动读取文件：
$cfg['Servers'][$i]['password'] = trim(file_get_contents('/run/secrets/pma_password'));（需改config.inc.php）
注意：官方镜像未内置该读取逻辑，你必须通过 docker service create --config 或自定义 entrypoint 注入修改后的配置，否则 Secret 文件存在也无用。
立即学习“PHP免费学习笔记（深入）”；
更现实的替代方案：绕过 Secret 机制，但保持同等安全水位
如果你没在跑 Swarm，或不想改造 phpMyAdmin 启动流程，这三个做法实测更稳：
- 用 Nginx 反代 + HTTP Basic Auth：在流量入口层做认证，phpMyAdmin 容器本身不接触密码
- 通过环境变量传参 +
docker run --read-only：配合--tmpfs /var/www/html:rw,size=1m,exec保证 session 写入，同时禁止写入其他路径 - 挂载加密 volume（如
gocryptfs或encfs）：把config.inc.php放进加密目录，启动时解密挂载 —— 密码不落盘、不进镜像、不走网络
最后提醒：无论用哪种方式，$cfg['Servers'][$i]['AllowNoPassword'] = true; 这行必须删掉。它会让所有认证逻辑失效，Secret 或环境变量再安全也白搭。
