phpMyAdmin 5.2 无内置IP白名单功能，必须通过Web服务器层（Apache/Nginx）实现：Apache用Require ip或Allow/Deny指令，Nginx用allow/deny规则，PHP层过滤仅作兜底且易绕过。
phpmyadmin 5.2 本身不提供内置的 ip 白名单功能，必须通过 web 服务器层（apache 或 nginx）或 php 层控制访问来源；直接改 config.inc.php 无法实现真正白名单，仅能配合其他机制做辅助限制。
Apache 下用 .htaccess 或虚拟主机配置白名单
这是最常用且生效可靠的方案，适用于 Apache 环境（如 Ubuntu/Debian 默认安装方式）。
- 找到 phpMyAdmin 的 Web 路径，通常是
/usr/share/phpmyadmin（APT 安装）或/var/www/html/phpmyadmin（手动部署） - 在该目录下创建或编辑
.htaccess文件，写入以下内容（替换为你的可信 IP）：
Require ip 192.168.1.100 Require ip 203.0.113.0/24 Require ip 2001:db8::/32
如果 .htaccess 不生效，说明 Apache 未启用 AllowOverride All，需改到虚拟主机配置中（如 /etc/apache2/sites-enabled/000-default.conf），在 <Directory> 块内添加同上 Require 行，并重启 Apache：sudo systemctl restart apache2
注意：Require ip 在 Apache 2.4+ 才支持 CIDR 和 IPv6；旧版本需用 Allow from + Deny from all 组合，但已弃用，不推荐。
Nginx 下用 allow/deny 指令限制访问
Nginx 没有 .htaccess 机制，必须在 server 或 location 块中硬编码规则。
立即学习“PHP免费学习笔记（深入）”；
- 编辑 phpMyAdmin 对应的 Nginx 配置（如
/etc/nginx/conf.d/phpmyadmin.conf） - 在
location /phpmyadmin { ... }块内插入：
allow 192.168.1.100; allow 203.0.113.0/24; deny all;
顺序不能错：allow 必须在 deny all 之前，否则全部被拒；Nginx 不支持 IPv6 的 CIDR 写法（如 2001:db8::/32）需逐条写 allow 2001:db8::1;
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
修改后执行 sudo nginx -t && sudo systemctl reload nginx 生效。若页面返回 403 但你确实在白名单里，检查客户端是否走代理——真实 IP 可能被覆盖，需配合 real_ip_header 和 set_real_ip_from 解析。
PHP 层临时过滤（不推荐作主防线）
可在 config.inc.php 开头加几行 PHP 判断，但仅适合调试或兜底，极易被绕过：
$allowed_ips = ['127.0.0.1', '192.168.1.100'];
$client_ip = $_SERVER['REMOTE_ADDR'] ?? '';
if (!in_array($client_ip, $allowed_ips)) {
http_response_code(403);
exit('Access denied');
}
问题在于：$_SERVER['REMOTE_ADDR'] 在反向代理（如 Nginx + PHP-FPM）下常是代理 IP，不是真实客户端；且这段代码不阻断静态资源（CSS/JS），攻击者仍可尝试探测路径。仅建议作为第二道验证，不能替代 Web 服务器层规则。
为什么不能只靠 $cfg['AllowDeny']？
phpMyAdmin 5.2 确实有 $cfg['AllowDeny']['rules'] 配置项，但它**只控制 phpMyAdmin 内部的“数据库选择”和“SQL 执行”等操作界面跳转逻辑，不拦截 HTTP 请求本身**。
- 它在用户已登录成功后才起作用，无法阻止未授权 IP 访问登录页
- 配置形如
'deny from all'实际只是隐藏数据库列表，并非拒绝连接 - 该机制无日志、无状态、不校验 IP 头字段，纯前端逻辑，可被伪造 Referer 或直接请求
/sql.php绕过
真正容易被忽略的是：白名单必须落在网络栈更早的位置（Web 服务器），否则登录表单本身就被暴露了。哪怕你设了强密码，也挡不住暴力破解和凭证填充——IP 层拦截才是第一道实质防线。
