不能直接用root指向phpMyAdmin目录，因Nginx默认不解析PHP文件，会导致config.inc.php等敏感文件裸露可访问或源码泄露；必须用alias配合独立location块，并显式配置PHP处理、正确设置SCRIPT_FILENAME为$request_filename，否则报“No input file specified”或404。
为什么不能直接用 root 指向 phpMyAdmin 目录
直接把 root 设为 phpMyAdmin 安装路径（比如 /usr/share/phpmyadmin）会导致所有文件裸露可访问，包括 config.inc.php、libraries/ 等敏感路径。Nginx 默认不解析 PHP 文件，只做静态服务，所以页面会直接下载或显示源码——这不是权限问题，是根本没走 PHP-FPM。
必须显式声明 location ~ \.php$ 块，并确保 fastcgi_pass 正确指向 PHP-FPM socket 或端口。
- 常见错误：漏掉
fastcgi_param SCRIPT_FILENAME $request_filename;，导致 PHP 报错No input file specified. - 更隐蔽的问题：用了
$document_root$fastcgi_script_name但root未在 server 块里定义，Nginx 会 fallback 到全局 root，路径拼接就错了 - phpMyAdmin 内部重定向（如登录后跳转）依赖
try_files $uri $uri/ =404;，否则可能返回 404
如何配置二级域名并隔离 PHP 处理范围
用独立二级域名（如 phpmyadmin.example.com）比子路径（example.com/pma）更安全：能彻底隔离 cookie 域、避免 CSRF 跨路径污染、也方便单独设限（比如只允某些 IP 访问）。
关键点是 server 块内不写 root，而用 alias 配合 location /，再单独配 PHP 处理块：
立即学习“PHP免费学习笔记（深入）”；
server {
listen 80;
server_name phpmyadmin.example.com;
location / {
alias /usr/share/phpmyadmin/;
index index.php;
try_files $uri $uri/ =404;
}
location ~ ^/.*\.php$ {
alias /usr/share/phpmyadmin/;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $request_filename;
fastcgi_pass unix:/run/php/php-fpm.sock;
}
}
-
alias和root行为不同：alias会把匹配到的 URI 前缀替换成指定路径，所以location /+alias /path/才能正确映射根请求 -
location ~ ^/.*\.php$中的^/是必须的，否则可能匹配到/js/some.php这类非 PHP 入口文件（phpMyAdmin 里确实存在带 .php 后缀的 JS 资源） - 不要复用默认站点的
fastcgi_params里的SCRIPT_FILENAME，它基于$document_root，而这里没设root，必须显式覆盖
为什么登录后跳转 404 或提示 “缺少 mysqli 扩展”
前者通常是 try_files 缺失或位置不对；后者不是 PHP 扩展真没装，而是 phpMyAdmin 的 index.php 被当静态文件处理了——说明 location ~ \.php$ 根本没生效。
检查顺序优先级：location = / > location ^~ /path/ > location ~ \.php$。如果前面有更长的前缀匹配（比如 location /assets/），且没加 try_files，请求可能被截断。
- 运行
nginx -T | grep -A5 'server_name phpmyadmin'确认实际加载的配置片段 - 用
curl -I http://phpmyadmin.example.com/index.php看响应头是否含X-Powered-By: PHP，没有就说明没进 PHP-FPM - 查看
/var/log/nginx/error.log，典型报错是FastCGI sent in stderr: "Primary script unknown"，即SCRIPT_FILENAME指向了不存在的路径
HTTPS 和基础安全加固要点
phpMyAdmin 暴露数据库凭证，必须强制 HTTPS。Let’s Encrypt 的 certbot 可自动续签，但要注意 Nginx 配置中 listen 443 ssl 块里要包含 ssl_certificate 和 ssl_certificate_key，且证书路径不能用相对路径。
- 加
auth_basic "Restricted Access"; auth_basic_user_file /etc/nginx/.pma_htpasswd;做前置认证，防止暴力爆破登录页 - 禁用目录浏览：
location / { ... autoindex off; } - 禁止访问敏感文件：
location ~ ^/(config|libraries|setup)/ { deny all; }，注意这个要放在 PHP location 之前 - 如果服务器同时跑其他 PHP 应用，确保
fastcgi_param PHP_ADMIN_VALUE "open_basedir=/usr/share/phpmyadmin/:/tmp/"，限制脚本只能读这些路径
最常被忽略的是 alias 路径末尾斜杠：写成 alias /usr/share/phpmyadmin（缺 /）会导致内部重定向失败，Nginx 会尝试访问 /usr/share/phpmyadminindex.php 这种不存在的路径。
