phpMyAdmin暴力破解必须组合三道防线：网络层（Nginx/Apache IP白名单+HTTP Basic Auth）、应用层（config.inc.php禁用空密码、强制HTTPS、缩短会话）、数据库层（fail2ban监控日志封禁IP+最小权限账号）。
暴力破解攻击对 phpMyAdmin 登录页是真实且高频的威胁，仅靠“改个目录名”或“加个弱密码”无法阻止——必须组合网络层、应用层和数据库层三道防线。
限制 IP 访问（Nginx / Apache 配置）
这是最直接有效的第一道屏障。phpMyAdmin 不该暴露给全网，尤其不能允许来自 124.237.* 或 45.90.* 这类常见扫描段的请求。
- Nginx 中，在 server 块内添加：
allow 192.168.1.100;<br>allow 203.124.55.77;<br>deny all;
注意顺序：allow必须在deny all之前，否则全部被拒 - Apache 需用
<Directory>块配合Require ip（Apache 2.4+）：<Directory /usr/share/phpmyadmin><br> Require ip 192.168.1.100 203.124.55.77<br></Directory>
- 若使用 Cloudflare，
REMOTE_ADDR会变成 CF 的节点 IP，此时必须用HTTP_CF_CONNECTING_IP并配合set_real_ip_from，否则白名单失效
启用 Web 服务器级登录前认证（HTTP Basic Auth）
在 phpMyAdmin 自身登录逻辑触发前，先由 Nginx 或 Apache 拦下所有未授权请求。这能有效过滤掉 90% 以上的自动化爆破流量，且不依赖 PHP 执行。
- Nginx 示例：
location /phpmyadmin {<br> auth_basic "Restricted Access";<br> auth_basic_user_file /etc/nginx/.pma_htpasswd;<br>}生成密码文件用：htpasswd -c /etc/nginx/.pma_htpasswd admin - Apache 示例：
<Location /phpmyadmin><br> AuthType Basic<br> AuthName "phpMyAdmin"<br> AuthUserFile /var/www/.pma_htpasswd<br> Require valid-user<br></Location>
- ⚠️ 注意：
auth_basic_user_file路径不能放在 Web 可访问目录下，否则可能被直接下载
禁用空密码 + 缩短会话有效期 + 强制 HTTPS
这些配置都在 config.inc.php 中生效，不依赖外部服务，但极易被忽略。
立即学习“PHP免费学习笔记（深入）”；
- 关闭空密码登录：
$cfg['Servers'][$i]['AllowNoPassword'] = false;—— 即使 MySQL root 确实没设密码，这里也必须设为false - 缩短会话生命周期：
$cfg['LoginCookieValidity'] = 1800;（30 分钟），并确保 PHP 的session.gc_maxlifetime≥ 此值，否则 Cookie 过期后 session 文件仍存在，可能被复用 - 强制 HTTPS：
$cfg['ForceSSL'] = true;，同时确认 Web 服务器已正确终止 SSL，且$_SERVER['HTTPS']能被可靠识别（反向代理场景需设trust_proxy相关参数）
监控失败登录并联动防火墙封禁（fail2ban）
仅靠前端拦截不够，真实攻击者常绕过 HTTP Basic Auth（比如直连 PHP-FPM），必须从日志侧捕获并自动响应。
- phpMyAdmin 登录失败默认记入 Web 服务器 error log（如 Nginx 的
error_log），关键词是"login_form"或"Wrong username/password" - fail2ban jail 配置示例：
[phpmyadmin]<br>enabled = true<br>filter = phpmyadmin<br>logpath = /var/log/nginx/error.log<br>maxretry = 3<br>bantime = 3600
- 对应 filter（
/etc/fail2ban/filter.d/phpmyadmin.conf）应匹配：failregex = ^.*"POST /phpmyadmin.*" 200.*"Wrong username\/password".*$
注意：正则需适配你实际的访问路径（如/mysecretadmin）和日志格式
最关键的遗漏点往往不是技术本身，而是权限收敛——很多团队开了 phpMyAdmin，却仍用 MySQL 的 root@'%' 用户登录。只要这个账号存在，哪怕你加了十层防护，爆破成功一次就等于交出整个数据库控制权。务必为每个运维人员创建独立账号，并用 GRANT 显式限定库/表/操作级别权限。
