不能直接在config.inc.php中写header()，因为phpMyAdmin入口脚本index.php会在自定义代码前输出响应头，导致“headers already sent”错误；最可靠方式是在Nginx的location块中用add_header X-Frame-Options "SAMEORIGIN" always统一设置，确保覆盖所有入口路径。
phpMyAdmin 的 config.inc.php 里不能直接写 header()
很多人在 phpmyadmin 根目录下尝试手动加 header("x-frame-options: sameorigin");，结果发现没生效——因为 phpmyadmin 是基于 php 脚本动态生成页面的，但它的入口逻辑（index.php）会在你自定义代码之前就输出响应头，甚至可能已发送部分 html。一旦 http 头部被发送，再调用 header() 就会触发“headers already sent”错误或静默失败。
Nginx 配置 add_header 最可靠
对 phpMyAdmin 这类独立部署的管理工具，最稳妥的方式是在 Web 服务器层统一加头，避免 PHP 层执行顺序干扰。Nginx 中需确保：add_header 放在 location 块内（不是只写在 server 块顶层），且启用 always 参数，否则默认只对 2xx/3xx 响应生效，而 phpMyAdmin 的某些重定向（如登录跳转）会漏掉。
- 正确写法示例（针对 phpMyAdmin 路径）：
location /phpmyadmin {
alias /usr/share/phpmyadmin/;
add_header X-Frame-Options "SAMEORIGIN" always;
# 其他 fastcgi 或 index 配置...
}- 不要用
add_header X-Frame-Options "DENY"—— 否则你自己用 iframe 嵌入 phpMyAdmin（比如集成到内部运维平台）会直接白屏； - 别漏掉
always，否则 302 登录跳转页不带该头，扫描器仍会报漏洞； - 确认 Nginx 已加载
headers模块（通常默认启用，但某些精简版需手动编译）。
Apache 用户要启用 headers 模块并慎用 append
Apache 默认不启用 headers 模块，直接写 Header always set X-Frame-Options "SAMEORIGIN" 会导致 500 错误。必须先运行 a2enmod headers 并重启服务。
- 推荐用
always set，而非append：后者可能叠加多个同名头，触发浏览器拒绝解析； - 若 phpMyAdmin 是通过别名（Alias）暴露的，把配置放在对应
<Directory>块里，而不是全局.htaccess（phpMyAdmin 默认禁用 .htaccess）； - 注意路径匹配：比如 Alias /pma "/usr/share/phpmyadmin/"，则
<Directory "/usr/share/phpmyadmin">才生效。
为什么不用 ALLOW-FROM 或 CSP frame-ancestors？
ALLOW-FROM 在 Chrome 79+、Firefox 69+ 已被彻底移除，设了也无效；而 phpMyAdmin 本身不支持现代 CSP 的 frame-ancestors 动态注入（它没有统一的响应头注入点）。硬要在 PHP 层补 CSP，得改 libraries/classes/Response.php 或钩子函数，极易随版本升级被覆盖——不如守住 X-Frame-Options 这个兼容性最强的底线。
真正容易被忽略的是：phpMyAdmin 的登录页（/phpmyadmin/index.php）和主界面（/phpmyadmin/main.php）可能走不同路由，Nginx/Apache 配置必须覆盖所有可能入口路径，否则漏掉任意一个，点击劫持防护就算失效。
立即学习“PHP免费学习笔记（深入）”；
