Nginx层无法直接加验证码，因其不支持生成/校验图形验证码，也无PHP执行环境与session管理能力；可行方案是启用phpMyAdmin内置reCAPTCHA v2或确保自定义验证码脚本由PHP-FPM正确处理。
为什么直接在Nginx层加验证码不现实
Nginx 本身不支持生成或校验图形验证码（如 captcha），它没有 PHP 执行环境，也不能调用 GD 库或 session 管理逻辑。所谓“Nginx 加验证码”，实际只能做反向代理层面的简单拦截（比如限速、IP 黑名单），但无法完成「显示图片 → 提交表单 → 验证输入」这一完整流程。真正可行的路径是：让 phpMyAdmin 自身启用验证码，再由 Nginx 正确透传相关请求和 cookie。
phpMyAdmin 从 5.2.0 起原生支持 reCAPTCHA v2
官方已内置支持 Google reCAPTCHA v2（非 v3），需在 config.inc.php 中配置。这是目前最轻量且无需额外服务端组件的方案：
- 前往 reCAPTCHA Admin Console 注册站点，获取
recaptcha_site_key和recaptcha_secret_key - 确保 phpMyAdmin 配置文件中启用了
$cfg['LoginCookieRecaptcha'] = true; - 填入密钥：
$cfg['RecaptchaPublicKey'] = '6Lc...';和$cfg['RecaptchaPrivateKey'] = '6Lc...'; - 注意：reCAPTCHA v2 依赖前端加载
https://www.google.com/recaptcha/api.js，若网络不可达（如内网环境），此方案会失效
自建简易验证码需绕过 Nginx 缓存并放行特定 PHP 路径
若必须用自定义图形验证码（例如基于 ext/imagick 或 gd 的 PHP 实现），关键不是改 Nginx，而是确保以下三点不被破坏：
- phpMyAdmin 的登录页（
index.php）和验证码生成脚本（如captcha.php）必须由 PHP-FPM 处理，不能被 Nginx 静态返回 - Nginx 的
location ~ \.php$块必须包含fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;，否则captcha.php无法正确读取 session - 禁用对验证码图片路径的缓存：
location /phpmyadmin/captcha.php { add_header Cache-Control "no-store, no-cache, must-revalidate"; }
常见错误是把整个 /phpmyadmin/ 设为 alias 后，漏配 fastcgi_param，导致 captcha.php 报 Warning: session_start(): Failed to read session data。
立即学习“PHP免费学习笔记（深入）”；
更务实的替代方案：用 Nginx 做前置防护而非验证码
如果你真正想要的是防爆破，而不是形式上的“输入验证码”，这些 Nginx 配置更有效、更稳定：
- 对登录入口限速：
limit_req zone=phpmyadmin_login burst=1 nodelay;（配合limit_req_zone $binary_remote_addr zone=phpmyadmin_login:10m rate=1r/m;） - 封禁高频失败 IP：
fail2ban监控error.log中"Login failed"日志，比前端验证码更难绕过 - 隐藏真实入口：用
location /secret-login { alias /usr/share/phpmyadmin/; }替代默认/phpmyadmin，减少自动化扫描命中率
验证码容易被 OCR 绕过，而登录接口本身的健壮性（如密码哈希强度、session 再生、CSRF token）和传输层防护（强制 HTTPS、HSTS）才是更值得投入的地方。
