phpMyAdmin必须叠加网络层限制与认证增强两层防护：Nginx需用带前缀的location（如/secret-admin/）实现IP白名单、禁用非必要HTTP方法、隐藏真实路径，并显式配置SCRIPT_FILENAME、强制HTTPS、启用cookie认证及强blowfish_secret。
phpMyAdmin 不能暴露在公网直连，必须叠加至少两层访问控制：网络层限制 + 认证增强。只改目录名或加个密码，等于没加固。
用 Nginx location 做第一道门禁（IP + 路径双重过滤）
直接暴露 /phpmyadmin 是最大风险点。Nginx 的 location 必须同时做到：只允许可信 IP、禁用非必要 HTTP 方法、隐藏真实路径。
- 不要用
alias /usr/share/phpmyadmin/配在server块顶层——这会让所有子路径（如/phpmyadmin/config.inc.php）都可被探测 - 必须用带前缀的
location /secret-admin/，再通过alias映射到物理路径，比如：location /secret-admin/ { alias /usr/share/phpmyadmin/; index index.php; # 禁止直接访问敏感文件 location ~ \.(php|inc|config\.inc\.php|sql|log)$ { deny all; } # 只放行 GET/HEAD/POST if ($request_method !~ ^(GET|HEAD|POST)$) { return 405; } } - 在该
location内加 IP 白名单：allow 203.0.113.42; allow 2001:db8::1; deny all;
注意：IPv6 和 IPv4 规则要分开写，deny all必须放在最后
绕过 Apache 配置陷阱，专治 Nginx 下 403/502/空白页
Ubuntu/CentOS 官方包安装的 phpMyAdmin 默认附带 Apache 配置片段，对 Nginx 完全无效。照搬会直接导致 403（权限拒绝）或 502（PHP-FPM 无法解析路径）。
-
fastcgi_param SCRIPT_FILENAME是关键：Nginx 不识别$document_root在 alias 下的自动替换，必须显式拼接：fastcgi_param SCRIPT_FILENAME /usr/share/phpmyadmin$fastcgi_script_name;
而不是用$request_filename—— 后者在alias场景下可能指向错误路径 - 确保
/usr/share/phpmyadmin/目录属主是www-data（Ubuntu）或nginx（CentOS），且权限不高于755；config.inc.php必须为644，不可写 - 漏配
$cfg['TempDir']会导致登录后白屏：$cfg['TempDir'] = '/var/lib/phpmyadmin/tmp';
并手动创建该目录、设属主为 web 进程用户、权限750
强制 cookie 认证 + blowfish_secret 不可为空
认证方式选 cookie 是底线，但仅此不够。$cfg['blowfish_secret'] 若为空，phpMyAdmin 会降级使用弱随机盐，Session 可被预测。
立即学习“PHP免费学习笔记（深入）”；
- 生成强密钥别手敲：
openssl rand -base64 32
结果直接填进config.inc.php的$cfg['blowfish_secret'] - 禁用 config 认证模式：确认
$cfg['Servers'][$i]['auth_type']是'cookie'，不是'config'—— 后者会把数据库密码明文写死在 PHP 文件里 - 删掉所有未使用的认证相关配置项，比如
$cfg['Servers'][$i]['user']和$cfg['Servers'][$i]['password']—— 这些只在config模式下生效，留着反而误导维护者
HTTPS 强制跳转和日志监控不能省
HTTP 下传输的任何 phpMyAdmin 登录凭证，等同于明文广播。且登录失败日志若不采集，就等于放弃攻击感知能力。
- Nginx 配置中必须有
return 301 https://$host$request_uri;，且该规则要放在http块的server（80端口）内，不能只靠应用层判断 - 在 phpMyAdmin 所在的
location块里加：if ($scheme != "https") { return 301 https://$host$request_uri; }防止内部重定向绕过 - 定期用
grep "phpmyadmin.*401\|403" /var/log/nginx/access.log检查异常登录尝试；高频失败 IP 应加入防火墙黑名单，而非只靠 Nginxdeny
真正难的不是配置几行 Nginx 或改一个参数，而是确保所有环节没有“默认开启”的后门：比如旧版 phpMyAdmin 自带的 /setup 页面、未清理的 config.sample.inc.php、或残留的 .git 目录。每次更新后，都要用 find /usr/share/phpmyadmin -name ".git" -o -name "setup" -o -name "config.sample.inc.php" 扫一遍。安全不是开关，是持续剪枝的过程。
