phpMyAdmin界面无法设置MAX_USER_CONNECTIONS，因其硬编码排除该字段；必须用ALTER USER 'user'@'host' WITH MAX_USER_CONNECTIONS N;命令配置，设为0表示不限，限制仅对新连接生效，超限报ERROR 1226。
phpMyAdmin 本身不能设置用户最大连接数，所有相关限制必须通过 MySQL 原生命令配置，且 MAX_USER_CONNECTIONS 才是防 DDoS 连接耗尽的正确参数，不是 max_connections 或界面里随便点的选项。
为什么 phpMyAdmin 界面改不了 MAX_USER_CONNECTIONS
phpMyAdmin 的「用户账户」页面只展示并允许编辑部分权限字段（如 Select_priv、Grant_priv），但 max_user_connections 字段被硬编码排除在表单之外——它不渲染输入框，也不提交该值到数据库。你哪怕手动在 HTML 里加个 input 并填数字，提交后也会被忽略。
这不是 bug，而是设计选择：MySQL 用户级资源限制（MAX_USER_CONNECTIONS、MAX_QUERIES_PER_HOUR 等）只能由 SQL 语句写入 mysql.user 表，并触发内部权限重载逻辑。
常见错误操作包括：
立即学习“PHP免费学习笔记（深入）”；
- 在 phpMyAdmin 的 SQL 标签页执行
UPDATE mysql.user SET max_user_connections = 5 WHERE User = 'app'→ 不生效，缺少FLUSH PRIVILEGES且该写法在 MySQL 8.0+ 已被弃用 - 试图在
config.inc.php添加$cfg['MaxUserConnections']→ 该变量不存在，PHP 层无法干预 MySQL 底层连接控制 - 误以为「全局变量」
max_connections能限制单个用户 → 它控制整个实例总连接数，和用户隔离无关
用 ALTER USER 正确设置用户连接上限
对已有用户，唯一推荐方式是 ALTER USER，它原子更新权限缓存，无需 FLUSH PRIVILEGES，且兼容 MySQL 5.7+：
ALTER USER 'api_user'@'%' WITH MAX_USER_CONNECTIONS 10;
关键细节：
- 必须指定完整
User@Host，'api_user'@'localhost'和'api_user'@'%'是两个独立账号，需分别设置 - 设为
0表示不限制（回退到全局max_connections约束），线上环境不建议留 0 - 限制仅对新连接生效；已建立的连接不受影响，也不会被主动断开
- 超限时客户端立刻收到错误：
ERROR 1226 (42000): User 'api_user' has exceeded the 'max_user_connections' resource
验证是否真生效，别只信 SELECT 查询结果
查 mysql.user 表只是确认配置写入，不代表运行时拦截有效：
SELECT User, Host, max_user_connections FROM mysql.user WHERE User = 'api_user';
更关键的是看实时活跃连接数，这需要 performance_schema 开启：
SELECT user, COUNT(*) FROM performance_schema.threads WHERE TYPE = 'FOREGROUND' AND user = 'api_user' GROUP BY user;
如果返回 COUNT(*) 超过你设的值（比如设了 10 却看到 12），说明限制没起作用，大概率原因有：
- MySQL 版本低于 5.7（
ALTER USER ... WITH在 5.7 才稳定支持） - 用户实际连接用的是代理账号（如 ProxySQL、HAProxy），MySQL 看到的是代理的
User，不是真实客户端 - 应用用了连接池（如 HikariCP），池子维持了 10 个长连接，但业务请求复用它们——此时
MAX_USER_CONNECTIONS拦截的是建连动作，不是请求频次
配合 wait_timeout 防止连接长期 Sleep 占坑
只设 MAX_USER_CONNECTIONS 不够。如果攻击者建 10 个连接后全执行 SLEEP(3600)，这些连接会一直挂着，新合法请求进不来。
必须搭配会话级超时：
SET SESSION wait_timeout = 60;
或在用户创建/修改时绑定：
ALTER USER 'api_user'@'%' WITH MAX_USER_CONNECTIONS 10 PASSWORD EXPIRE INTERVAL 90 DAY;
但注意：wait_timeout 是会话变量，需在每次连接后由应用显式设置，或在 MySQL 配置中设全局 wait_timeout（影响所有用户）。真正可靠的方案是让应用层在获取连接后立即执行该语句。
最易被忽略的一点：限制生效的前提是攻击流量真的走的是这个 MySQL 账号。如果前端用统一代理账号连库，再用应用层鉴权，那 MySQL 层根本看不到真实用户，所有资源限制都形同虚设。
