最可靠方式是在Web服务器层做IP白名单，如Nginx中在location块配置allow内网段+deny all，同时同步收紧云平台安全组规则。
直接限制 phpmyadmin 只能内网访问，最可靠的方式是**在 web 服务器层做 ip 白名单**，而不是依赖 phpmyadmin 自身配置。因为 config.inc.php 里的逻辑（比如用 $_server['remote_addr'] 判断）容易被绕过或失效，尤其在有反向代理、cdn 或 ipv6 环境下。
nginx 中用 allow/deny 限制 /phpmyadmin 路径
这是生产环境最常用、最干净的做法。规则必须写在 location 块里，且顺序不能错：
-
allow和deny只在http、server、location块中生效，写在upstream或顶层http里无效 - 匹配是“从上到下，第一个命中即终止”，所以
deny all必须放在最后 - 内网常见段要全写：IPv4 的
10.0.0.0/8、172.16.0.0/12、192.168.0.0/16；IPv6 的fd00::/8（ULA）也建议加上 - 务必保留
127.0.0.1和::1，否则本地诊断会失败
示例配置：
location ^~ /phpmyadmin/ {
allow 127.0.0.1;
allow 10.0.0.0/8;
allow 172.16.0.0/12;
allow 192.168.0.0/16;
allow ::1;
allow fd00::/8;
deny all;
}
改完 reload nginx：sudo nginx -s reload。注意：如果用了 CDN 或负载均衡，$remote_addr 是代理 IP，得配合 real_ip_header X-Forwarded-For 和 set_real_ip_from 修正，否则白名单会失效。
Apache 的 配置必须放对位置
WAMP/XAMPP/LAMP 环境下，不能只改 httpd.conf 全局设置，得定位到 phpMyAdmin 的实际目录块。常见错误是把规则写在 <virtualhost></virtualhost> 外，或漏掉 Require ip 的括号语法（Apache 2.4+）：
立即学习“PHP免费学习笔记（深入）”；
- 找到 phpMyAdmin 对应的
<directory></directory>块，通常路径类似/usr/share/phpmyadmin或C:/wamp64/apps/phpmyadmin*/ - 删掉旧的
Require local或Allow from 127.0.0.1，换成明确的内网段 - Apache 2.4+ 必须用
Require ip，不是Allow/Deny（后者已废弃）
正确写法：
<Directory "/usr/share/phpmyadmin">
<IfModule mod_authz_core.c>
Require ip 127.0.0.1 ::1
Require ip 10.0.0.0/8
Require ip 172.16.0.0/12
Require ip 192.168.0.0/16
Require ip fd00::/8
</IfModule>
</Directory>
重启 Apache 生效：sudo systemctl restart apache2（Linux）或点击 WAMP 托盘 → Restart All Services。
别忽略云服务器安全组这道前置关卡
如果你用的是阿里云、腾讯云或 AWS，**安全组规则优先级高于 nginx 或 iptables**。哪怕 nginx 配置了完美白名单，只要安全组放行了 0.0.0.0/0 的 80/443 端口，外网请求根本不会走到 nginx 那一步。
- 先登录云控制台，把 phpMyAdmin 所在服务器的安全组入方向规则收紧：只允许内网段（如
192.168.0.0/16）访问 HTTP/HTTPS 端口 - 不要依赖“只封 phpMyAdmin 目录”这种应用层思路——攻击者可直接扫 IP + 端口，绕过路径限制
- AWS 安全组默认是“全放行”，这点和国内厂商相反，容易误判
安全组设好后，再配 nginx 或 Apache，才是纵深防御的合理顺序。
为什么不用 config.inc.php 里判断 IP？
有人会在 config.inc.php 开头加一段 PHP 判断 $_SERVER['REMOTE_ADDR']，看似简单，但问题很多：
- 如果前端有 Nginx 作反向代理，
$_SERVER['REMOTE_ADDR']默认是代理地址（如127.0.0.1），不是真实客户端 IP - PHP 层拦截发生在请求已进入应用逻辑之后，Web 服务器日志里仍会留下大量非法访问记录，增加日志噪音
- 无法阻止扫描器对
/phpmyadmin/路径的暴力探测，而 Web 服务器层能直接返回 403，不触发 PHP 解析 - IPv6 地址格式（如
2001:db8::1）和 CIDR 匹配逻辑容易写错，不如 Web 服务器原生支持健壮
真要用 PHP 层做二次校验，至少得先确认 $_SERVER['REMOTE_ADDR'] 已被可信代理修正（比如 Nginx 设置了 proxy_set_header X-Real-IP $remote_addr），再用 filter_var() 和 ip_in_range() 类函数严谨判断，但没必要——Web 服务器层已经做得更早、更稳、更省资源。
真正容易被忽略的点是：**内网段定义不全 + 安全组没同步收紧**。很多人只加了 192.168.0.0/16，却忘了 Docker 默认桥接网段 172.17.0.0/16 或 Kubernetes NodePort 范围，结果容器里访问不了；或者 nginx 配好了，云安全组还开着全世界可连——这两处一漏，整个限制就形同虚设。
