必须先查mysql.user表确认root@'%'是否存在，存在则执行DROP USER 'root'@'%';并FLUSH PRIVILEGES;彻底删除，再检查phpMyAdmin配置是否硬编码root凭据及Apache是否限制访问IP，三者缺一不可。
确认 root@'%' 是否真实存在
禁止远程登录的前提是：它确实被开通过。很多人以为“没手动加过就安全”，但实际可能已被脚本、部署工具或误操作创建。直接查表最可靠：SELECT Host, User FROM mysql.user WHERE User = 'root';。如果结果里有 root@% 这一行，说明远程 root 已启用——删它才是关键动作，不是改配置文件或注释 bind_address。
用 DROP USER 彻底删除远程 root 用户
别碰 mysql.user 表的 DELETE 或 UPDATE Host，MySQL 8.0+ 会拒绝或导致权限缓存异常。正确做法只有一条命令：DROP USER 'root'@'%';。执行后必须跟 FLUSH PRIVILEGES;，否则旧权限可能还在内存里生效。删完再查一遍 SELECT Host, User FROM mysql.user WHERE User = 'root';，确保只剩 localhost（或你明确保留的其他 host）。
检查 phpMyAdmin 配置是否绕过限制
即使 MySQL 层已无 root@%，phpMyAdmin 的 config.inc.php 仍可能主动尝试用 root 连远程地址。重点检查三项：$cfg['Servers'][$i]['host'] 是否写成 '192.168.x.x' 或域名；$cfg['Servers'][$i]['AllowRoot'] 是否为 false；$cfg['Servers'][$i]['user'] 和 password 是否硬编码了 root 凭据。若存在，删掉或注释掉这些行，强制用户手动输入非 root 账号。
验证 Apache 层是否暴露 phpMyAdmin 给外网
phpMyAdmin 页面本身不能被远程访问，才是最后一道防线。检查 Apache 的 phpMyAdmin 别名配置（如 httpd-phpmyadmin.conf），确认 <directory></directory> 块里没有 Require all granted，而是明确限制为：Require ip 127.0.0.1 或内网段如 Require ip 10.0.0.0/8。顺便确认 bind_address 在 my.cnf 中未设为 0.0.0.0，且系统防火墙（ufw/firewalld）和云平台安全组未对 3306 端口放行——这些和 phpMyAdmin 无关，但常被一起误开。
立即学习“PHP免费学习笔记（深入）”；
真正容易被忽略的是：MySQL 的root@localhost 仍可通过本地 socket 被 phpMyAdmin 调用，只要 Apache 运行在本机。所以禁用远程 root 的核心，从来不是“堵网络入口”，而是“删掉那个能远程认证的用户记录” + “不让 phpMyAdmin 代填 root 凭据” + “不让外人看到 phpMyAdmin 登录页”。三者缺一不可。 
