必须关闭PHP层display_errors，因phpMyAdmin报错由PHP引擎渲染，与自身配置无关；需检查phpinfo()中“Local Value”是否为Off，并在Web服务器配置中强制关闭，如Apache加php_flag display_errors off、Nginx加fastcgi_param PHP_VALUE "display_errors=Off"。
phpmyadmin 本身不直接控制 php 错误显示逻辑，路径泄露几乎全是底层 php 配置没关严导致的——比如访问 export.php 报错时吐出完整堆栈，/var/www/html/phpmyadmin/libraries/common.inc.php 就直接暴露了。
确认并关闭 PHP 层 display_errors
这是最常被忽略的一环。phpMyAdmin 的报错页面（如 500、白屏带警告）全由 PHP 引擎渲染，和它自己的配置无关。
- 检查实际生效值：
phpinfo()页面里找display_errors行，看 “Local Value” 是否为Off；不是就说明被 .htaccess、Nginx fastcgi_param 或虚拟主机配置覆盖了 - Apache 下必须在对应 VirtualHost 或目录块中加：
php_flag display_errors off，仅改 php.ini 不够 - Nginx 必须在 server 或 location 块中加：
fastcgi_param PHP_VALUE "display_errors=Off"; - 写个测试脚本：
<?php trigger_error('test', E_USER_WARNING); ?>，访问后页面空白才算真正关闭
禁用 phpMyAdmin 自带的调试与错误详情输出
即使 PHP 层关了 display_errors，phpMyAdmin 在 APP_DEBUG 模式或未设 $cfg['ShowHint'] 时仍可能把 SQL 错误、数据库路径、服务器信息塞进响应体或注释里。
- 在
config.inc.php中强制关闭提示：$cfg['ShowHint'] = false; - 确保没有开启调试模式：删掉或注释掉类似
$cfg['Debug'] = true;或$cfg['Verbose'] = true;的行 - 禁用 SQL 执行详情：设
$cfg['SQLQuery']['ShowAll'] = false;和$cfg['SQLQuery']['Validate'] = false;，避免校验失败时暴露表结构 - 别用
error_reporting(E_ALL)在 config.inc.php 开头临时开错——它会绕过 php.ini 设置
堵死错误信息落地的其他出口
路径泄露不止来自浏览器页面，还可能藏在 HTTP 响应头、HTML 注释、JS 变量、甚至日志文件里。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 检查
config.inc.php是否启用了 trace：$cfg['DBG']['sql']或$cfg['DBG']['general']必须为false，否则 SQL 日志会写进 HTML 注释 - 确保
$cfg['SendErrorReports'] = 'never';，防止意外把错误发到 phpMyAdmin 官方服务器（旧版本有该选项） - Web 服务器层拦截敏感路径：Nginx 加
location ~ ^/(readme|changelog|doc|libraries|setup)/ { return 403; }，防攻击者主动触发报错 - Runtime 目录（如
tmp/）若不可写，phpMyAdmin 可能因缓存失败而抛出含路径的致命错误，需确保其存在且 Web 进程可写
真正的难点不在“怎么关”，而在“哪里开了”。一个 .htaccess 里的 php_flag display_errors on，就能让所有配置失效；一次临时调试加的 ini_set('display_errors', '1')，上线忘了删，路径就裸奔了。每次部署后，务必用真实请求验证，而不是只看配置文件。
立即学习“PHP免费学习笔记（深入）”；
