必须由Apache完成LDAP认证并透传REMOTE_USER，phpMyAdmin仅信任该变量；需设auth_type='http'、清空数据库凭据、禁用LoginCookieRecall，并确保MySQL存在同名用户且权限匹配。
不能直接在 phpMyAdmin 内部配置 LDAP 单点登录——它本身不处理 LDAP 认证，必须由 Web 服务器（如 Apache）完成认证，并把 REMOTE_USER 透传给 phpMyAdmin。 否则你看到的永远是自己的登录框，或报 #1045 Cannot log in to the MySQL server。
Apache 必须先完成 LDAP 认证并设置 REMOTE_USER
phpMyAdmin 只信任 Web 服务器传来的用户名，不自己连 LDAP。所以第一步是让 Apache 成功做 LDAP 绑定并导出环境变量：
-
AuthType basic+AuthBasicProvider ldap是基础组合，缺一不可 -
AuthLDAPURL中的base DN、attribute（如uid）、scope（如sub）和filter必须与你的 LDAP 目录结构完全一致；写错一个字符（比如把ou=People写成ou=people）就会静默失败，只返回Authorization Required，且 Apache error log 默认不记录 LDAP 细节 - 确保
AuthLDAPBindDN和AuthLDAPBindPassword能成功绑定到 LDAP 服务器（测试可用ldapsearch -x -D "cn=admin,dc=example,dc=com" -W -b "ou=People,dc=example,dc=com" "(uid=testuser)"） - 用
Require ldap-group或Require ldap-user控制谁能进 phpMyAdmin 页面，但注意：这只是「进页面」权限，不是「连 MySQL」权限
phpMyAdmin config.inc.php 必须设为 http 模式并清空数据库凭据
即使 Apache 认证成功，phpMyAdmin 还会用自己的逻辑判断要不要弹窗——关键就看 auth_type 配置：
- 必须显式设置
$cfg['Servers'][$i]['auth_type'] = 'http';，否则它忽略REMOTE_USER，坚持走 cookie 或 config 模式 - 必须删掉或注释掉
$cfg['Servers'][$i]['user']和$cfg['Servers'][$i]['password']—— HTTP 模式下它们不仅无效，还可能被误用于连接 MySQL，导致权限错乱或密码泄露 -
$cfg['Servers'][$i]['host']应指向本地 MySQL（如'127.0.0.1'），不是 LDAP 服务器；phpMyAdmin 不通过 LDAP 连数据库，只用 LDAP 做身份断言 - 禁用
$cfg['LoginCookieRecall'] = false;，因为 HTTP 认证不走 Cookie 登录流程，开启会导致跳转死循环
MySQL 用户必须存在且权限匹配 REMOTE_USER
Apache 把 REMOTE_USER（比如 alice）传过来后，phpMyAdmin 会尝试用这个名字去连 MySQL。如果 MySQL 里没有 alice@localhost 这个用户，或者没授权，就会报 #1045：
立即学习“PHP免费学习笔记（深入）”；
- 在 MySQL 中创建对应用户：
CREATE USER 'alice'@'localhost' IDENTIFIED WITH mysql_native_password BY 'xxx';（密码可为空，但建议设强密码或用 auth_socket） - 授予权限时，不要只给
ALL PRIVILEGES ON *.*，按需分配；例如只允许访问特定库：GRANT SELECT,INSERT ON myapp.* TO 'alice'@'localhost'; - 若用 LDAP 的
uid直接映射 MySQL 用户名，注意长度限制（MySQL 用户名最大 32 字符），避免截断导致匹配失败 - 确认 MySQL 的
skip-name-resolve已启用，否则alice@localhost可能被解析成alice@127.0.0.1，权限不生效
最易被忽略的是 MySQL 用户名与 LDAP uid 的一致性——Apache 传什么，MySQL 就得有什么用户，大小写、特殊字符、空格都得严丝合缝。调试时可在 Apache 的 SetEnvIf 中加 SetEnvIf Authorization "(.*)" DEBUG_AUTH=$1 并配合 print_r($_SERVER) 看实际传了什么，别只信日志里的“认证成功”。
