phpMyAdmin登录页成爆破跳板因暴露服务器列表、自动填充用户名及明示错误提示；须禁用任意服务器、登录记忆、空密码等配置，并泛化后端错误、移除前端弱密码校验，最终通过IP白名单限制访问。
phpMyAdmin登录页为何会“帮”攻击者爆破
不是它在后台扫密码，而是登录界面本身成了攻击跳板：下拉框列出所有已配置服务器（暴露目标清单），表单自动填充历史账号（泄露用户名），错误提示直接返回mysqli_real_connect(): (hy000/1045): access denied for user 'root'@'localhost'（确认用户存在且密码错误）。这三者叠加，等于把字典攻击的反馈闭环做全了。
必须改的 config.inc.php 关键配置
所有修改都在 config.inc.php 中，不重启服务即可生效（部分需刷新会话）：
-
$cfg['AllowArbitraryServer'] = false;—— 防止下拉框枚举服务器，某些一键包默认设为true -
$cfg['LoginCookieRecall'] = false;—— 关闭记住用户名，杜绝表单自动填充 -
$cfg['ShowChgPassword'] = false;—— 隐藏页面上的“更改密码”入口，减少信息暴露 -
$cfg['AllowNoPassword'] = false;—— 强制所有账号必须设密码，禁用空口令 - 删掉所有未使用的
$cfg['Servers'][$i]块 —— 别留着“备用服务器”配置，每个多余条目都是一个潜在目标
后端错误提示必须泛化
前端隐藏错误没用，真实报错仍从 PHP 层吐出。最稳妥的做法是拦截源头：
在 Nginx 配置中加一行：error_page 401 /login-failed.html;，并确保该页面只返回通用提示；或直接修改 libraries/classes/Plugins/Auth/AuthenticationCookie.php 中的 authSetError() 方法，把所有 MySQL 错误码（如 1045、1049）统一替换为 'Login failed. Please check credentials.'。别信“前端 JS 隐藏”，攻击者抓包就能看到原始响应。
禁用前端弱密码字典和强度检测
phpMyAdmin 自带的 JS 密码校验会把常见弱口令硬编码进前端，等于免费送字典：
立即学习“PHP免费学习笔记（深入）”；
- 搜索
js/functions.js或js/password.js，注释掉所有含weakPasswords、commonPasswords的数组定义 - 在
config.inc.php中添加：$cfg['PasswordDefaultLength'] = 0;和$cfg['PasswordMinimumLength'] = 12;—— 后者仅影响新设密码，但能阻止用户随手填个“123456”
真正起效的是服务器层限制：Web 服务器（Nginx/Apache）只允许白名单 IP 访问 phpMyAdmin 路径，比任何应用层加固都管用。一旦公网暴露，再严的配置也架不住暴力轮询——这点最容易被忽略。
