强制HTTPS是phpMyAdmin安全底线，否则账号密码、SQL查询等全明文传输易被窃听；需配置$cfg['ForceSSL']=true并配合服务器级HTTPS跳转及反向代理头传递，否则加固措施失效。
生产服务器上不强制 HTTPS 访问 phpMyAdmin，等于把数据库凭据、结构、甚至数据本身裸露在明文传输链路上——只要有人在同一局域网、Wi-Fi 或中间网络节点，就能用 tcpdump 或 Wireshark 抓到完整的登录密码和 SQL 查询。
HTTP 下 phpMyAdmin 的所有通信都是明文
phpMyAdmin 本质是 Web 前端 + PHP 后端 + MySQL 协议桥接器。它不加密自身表单提交内容：用户输入的 MySQL 账号密码、执行的 SELECT * FROM users、导出的 CSV 数据，全以明文走 HTTP。浏览器地址栏显示 http:// 时，POST /index.php 请求体里就躺着你的 root 密码。
- 攻击者无需入侵服务器，只需监听流量（如办公网、IDC 托管机房共享交换机）即可批量提取凭据
- 运营商或中间代理可注入 JS（“HTTP 劫持”），把登录页替换成钓鱼版本，连 SSL 指纹校验都绕不过
- 现代浏览器（Chrome、Edge）对 HTTP 页面的
input[type=password]字段会直接标红警告，部分新版还会禁用粘贴功能
$cfg['ForceSSL'] = true 不是可选项，而是保底开关
即使服务器已配好 HTTPS，phpMyAdmin 仍可能因配置疏漏继续响应 HTTP 请求。设 $cfg['ForceSSL'] = true 在 config.inc.php 中，会让它在每次请求开头检查 $_SERVER['HTTPS'] 或 $_SERVER['HTTP_X_FORWARDED_PROTO']，不匹配就 302 跳转或直接拒绝。
- 必须配合服务器级 HTTPS 配置生效，单独设这个变量不能让 HTTP 变成 HTTPS
- 若用反向代理（如宝塔、Nginx），要确保代理头（
X-Forwarded-Proto）被正确传递，否则 phpMyAdmin 会误判为 HTTP 环境 - 设为
true后，访问http://example.com/phpmyadmin会跳转到https://...，但首次跳转仍是明文——所以仍需服务端强制跳转规则兜底
不强制 HTTPS 会直接破坏安全机制链
phpMyAdmin 的多项加固措施依赖 HTTPS 上下文才能起效。例如：
立即学习“PHP免费学习笔记（深入）”；
-
session.cookie_secure = 1：仅在 HTTPS 下发送 Cookie，HTTP 请求中PHPSESSID根本不会出现在请求头里 -
session.cookie_httponly = 1和session.cookie_samesite = Lax：防止 XSS 盗取 session，但若 Cookie 本身能被 HTTP 明文截获，这些设置毫无意义 -
$cfg['blowfish_secret']加密的登录 Cookie：加密只防篡改，不防窃听；明文传输下攻击者拿到加密 Cookie 后，可重放使用（session fixation）
真正关键的不是“能不能用”，而是“别人能不能看”。一次未加密的登录，可能让整个数据库权限被横向移动到其他服务；一个未跳转的 HTTP 入口，可能成为渗透测试报告里的高危项。强制 HTTPS 不是加一层锁，而是把整条通道从纸糊换成钢板——这点成本，远低于一次数据泄露后的合规处罚与品牌修复。
