phpMyAdmin无“禁用任意服务器登录”开关，需手动修改config.inc.php：①$cfg['Servers'][$i]['host']设为具体地址；②配置AllowDeny或删除该块；③禁用root和空密码登录；④前端输入框需删多余server条目或禁用切换；⑤Nginx/Apache必须拦截server=参数。
phpMyAdmin 本身没有“禁用任意服务器登录”的开关，所谓“任意服务器登录”实际指 $cfg['Servers'][$i]['host'] 被设为 '%' 或未限制 AllowDeny 规则——这属于配置漏洞，不是功能开关，必须手动堵住。
为什么不能靠界面点一下就禁用
phpMyAdmin 的登录页只负责把用户输入的账号密码转发给 MySQL，它不校验“这个用户能不能连这台服务器”。所谓“连任意服务器”，本质是 config.inc.php 里写了宽松的 $cfg['Servers'][$i]['host'] = '%';，或压根没配 AllowDeny，导致用户在登录表单里手动填入任意 IP 都能尝试连接。这不是 phpMyAdmin 提供的功能，而是你放开了配置。
真正要改的三处 config.inc.php 配置
打开 /path/to/phpmyadmin/config.inc.php，定位到 $cfg['Servers'][$i] 区块（$i 通常是 0 或 1），确认以下三项：
-
$cfg['Servers'][$i]['host']必须是具体地址，如'localhost'或'10.0.2.5'，绝不能是'%'或留空 -
$cfg['Servers'][$i]['AllowDeny']['order']应设为'deny,allow'，并配对应规则；若不需要远程管理，直接删掉整段AllowDeny块更安全 -
$cfg['Servers'][$i]['AllowRoot'] = false;和$cfg['Servers'][$i]['AllowNoPassword'] = false;必须启用，否则 root 或空密码仍可绕过主机限制
登录表单里还能输其他 host？那说明前端没拦住
phpMyAdmin 默认会渲染一个下拉菜单或文本框让用户选/填 server，这是前端行为，不等于后端允许。但如果你看到登录页有 “Server” 输入框，说明你在 config 中启用了 $cfg['Servers'][$i]['verbose'] 或设了多个 server 条目。解决方法只有两个：
立即学习“PHP免费学习笔记（深入）”；
- 删掉多余
$cfg['Servers'][1]、[2]等条目，只保留一个明确指向本机 MySQL 的 server - 在
$cfg['Servers'][$i]中加'auth_type' => 'cookie'并确保不启用'ShowChgPassword'，避免暴露 server 切换逻辑
最常被忽略的漏网之鱼：Nginx/Apache 的反代配置
如果你用 Nginx 反向代理 phpMyAdmin，且 proxy_pass 指向的是 http://backend:8080 这类泛域名，那么攻击者可能绕过 phpMyAdmin 的 config，直接请求 http://your-domain.com/?server=192.168.100.200——只要后端 Web 服务没过滤 query 参数里的 server，就可能触发连接。必须在 Web 服务器层拦截：
- Nginx：加
if ($args ~* "server=") { return 403; } - Apache：在 .htaccess 或虚拟主机中加
RewriteCond %{QUERY_STRING} server= [NC]+RewriteRule ^ - [F]
不封这个，前面所有 config 修改都形同虚设。
