PMA_ARBITRARY=1 不符合只读需求，因为它在登录页暴露“Server”“Username”“Password”输入框，允许用户任意连接任意MySQL实例，完全绕过只读约束，且phpMyAdmin本身不校验权限或限制操作。
不能直接用 PMA_ARBITRARY=1 启动只读 phpMyAdmin —— 它会暴露数据库连接表单，允许用户任意输入 host/credentials，完全绕过只读约束。
为什么 PMA_ARBITRARY=1 不符合只读需求
该模式下用户可在登录页手动填写任意 MySQL 地址、端口、用户名和密码，phpMyAdmin 不做任何权限校验或连接限制。即使你只给它配了一个只读账号，用户仍可尝试连其他库、提权、甚至爆破。这不是“只读”，是“开放入口”。
- 登录页显示“Server”、“Username”、“Password”三栏，无任何服务预设
- 连接成功后，所有操作（包括
DROP TABLE、GRANT）是否执行，取决于后端账号权限，phpMyAdmin 本身不拦截 SQL - 无法通过环境变量禁用建库、删表等 UI 按钮 —— 官方镜像没提供这类控制开关
正确做法：固定连接 + 只读账号 + 禁用危险功能
必须让 phpMyAdmin 只能连一个指定数据库实例，并且该实例只提供只读账号；再配合配置项隐藏/禁用高危操作入口。
- 用
PMA_HOST和PMA_PORT固定目标，不要设PMA_ARBITRARY - MySQL 端创建专用只读账号：
CREATE USER 'pma_ro'@'%' IDENTIFIED BY 'ro-pass'; GRANT SELECT ON *.* TO 'pma_ro'@'%'; FLUSH PRIVILEGES; - 在 phpMyAdmin 服务 environment 中传入账号：
PMA_USER=pma_ro、PMA_PASSWORD=ro-pass - 加
PMA_ABSOLUTE_URI=https://your-domain.com/phpmyadmin/避免相对路径跳转问题（影响部分插件行为） - 通过
PHP_INI_SCAN_DIR注入自定义 ini，禁用导出为 PHP/Python 脚本等高风险导出格式（需挂载 config 文件）
上传与执行类功能必须显式关闭
只读场景下，SQL 导入、文件上传、执行任意语句这些能力都该关掉 —— 不是靠账号权限卡住就行，UI 层也要隐藏。
立即学习“PHP免费学习笔记（深入）”；
- 设置
AllowArbitraryServer=off（写进config.user.inc.php，需挂载） - 禁用导入：在挂载的
config.user.inc.php中加$cfg['UploadDir'] = '';和$cfg['SaveDir'] = ''; - 禁用 SQL 窗口执行按钮：加
$cfg['ShowSQL'] = false;和$cfg['EnableAutocomplete'] = false; - 避免挂载
/tmp或/sessions到可写宿主机路径 —— session 写满或临时文件堆积可能被利用
容易忽略的权限穿透点
只读容器 ≠ 绝对安全。MySQL 账号只读，但 phpMyAdmin 自身若存在未修复漏洞（如 CVE-2023-36589），仍可能被用于 SSRF、目录遍历或模板注入。所以：
- 永远用带版本号的镜像，例如
phpmyadmin/phpmyadmin:5.2.3-apache，别用latest - MySQL 容器必须设
MYSQL_ROOT_HOST='%'（如果用 mysql:8.0+），否则只读账号连不上 - phpMyAdmin 容器不要共享
host网络，也不要加cap_add或privileged: true - 如果你挂载了自定义
config.user.inc.php，确认文件权限是644，且 UID/GID 匹配容器内 www-data 用户（通常为 33）
