phpMyAdmin本身不控制MySQL权限，禁用LOAD DATA的关键在于MySQL层：需撤销用户FILE权限、配置secure_file_priv限制目录，并关闭local_infile以阻断LOCAL版本；phpMyAdmin配置仅影响UI，无法拦截手动执行的SQL语句。
phpMyAdmin 本身不控制 MySQL 权限
phpMyAdmin 是一个 Web 界面客户端，它执行的 SQL 命令最终由 MySQL 服务端解析和执行。禁用 LOAD DATA 的关键不在 phpMyAdmin 配置里，而在于 MySQL 用户权限设置——只要用户拥有 FILE 权限，且服务器未禁用相关功能，就可能通过 phpMyAdmin（或任何其他客户端）执行 LOAD DATA INFILE 或 LOAD DATA LOCAL INFILE。
真正起作用的是 MySQL 的 FILE 权限和 secure_file_priv
MySQL 用两个机制协同限制 LOAD DATA：
-
FILE权限是执行LOAD DATA INFILE的必要条件；移除该权限后，用户连读取服务器本地文件都不被允许 -
secure_file_priv系统变量决定允许读取/写入文件的目录范围；设为NULL表示完全禁用LOAD DATA INFILE和SELECT ... INTO OUTFILE -
LOCAL版本（即LOAD DATA LOCAL INFILE）不受FILE权限控制，但受客户端连接参数和服务器端local_infile系统变量双重约束
所以，针对特定用户禁用 LOAD DATA，必须组合操作：
- 撤销该用户的
FILE权限：REVOKE FILE ON *.* FROM 'username'@'host';
- 确认全局
secure_file_priv不为空（推荐设为具体目录或''，而非留空）：SHOW VARIABLES LIKE 'secure_file_priv';
- 若需彻底禁用
LOCAL版本，需在 MySQL 启动时设置local_infile=OFF，或运行时执行：SET GLOBAL local_infile = OFF;
（注意：这影响所有用户，且需要SYSTEM_VARIABLES_ADMIN权限）
phpMyAdmin 的 config.inc.php 无法拦截 LOAD DATA
有人尝试在 phpMyAdmin 的 config.inc.php 中添加 $cfg['Servers'][$i]['DisableIS'] = true; 或修改 $cfg['Servers'][$i]['AllowUserDropDatabase']，这些配置只影响 phpMyAdmin 自身的 UI 行为（比如是否显示“导入”标签页、是否允许删除库），**不阻止用户手动输入并执行 LOAD DATA 语句**。
立即学习“PHP免费学习笔记（深入）”；
即使你隐藏了导入界面，用户仍可在 SQL 标签页中粘贴并执行任意语句——phpMyAdmin 默认不会语法级过滤或拦截关键字。
唯一接近“前端拦截”的方式是自定义插件或修改源码（如重写 Sql::execute()），但这既不可靠又难维护，还可能被绕过。真实有效的防线永远在 MySQL 层。
检查与验证是否生效
权限变更后，务必用目标用户身份登录 MySQL 命令行或 phpMyAdmin，执行测试：
- 执行
SHOW GRANTS FOR 'username'@'host';，确认输出中不含FILE - 尝试
LOAD DATA INFILE '/tmp/test.csv' INTO TABLE t1;→ 应报错ERROR 1045 (28000): Access denied for user ... (using password: YES)或ERROR 1290 (HY000): The MySQL server is running with the --secure-file-priv option... - 尝试
LOAD DATA LOCAL INFILE '/tmp/test.csv' INTO TABLE t1;→ 若已关闭local_infile，会报错ERROR 1148 (42000): The used command is not allowed with this MySQL version
注意：权限变更后需执行 FLUSH PRIVILEGES;（仅当直接修改 mysql.user 表时才必需；使用 GRANT/REVOKE 语句则自动生效）。
真正容易被忽略的是 LOCAL 路径行为——它由客户端驱动，phpMyAdmin 的 PHP MySQL 扩展（mysqli 或 pdo_mysql）默认启用 local_infile，所以仅关服务端还不够，得配合全局 local_infile=OFF 或在连接时显式禁用（如 mysqli 用 mysqli_options($link, MYSQLI_OPT_LOCAL_INFILE, false)）。
