$cfg['blowfish_secret']必须为恰好32字节的非空字符串，且config.inc.php与config.default.php中需完全一致；若缺失、为空、长度不符或auth_type非'cookie'，均会触发“配置文件现在需要一个短语密码”等提示。
$cfg['blowfish_secret'] 配置错误或缺失是登录页报“配置文件现在需要一个短语密码”“密文太短”等 Blowfish 相关提示的直接原因。这不是 PHP 或 Nginx 层面的运行时错误，而是 phpMyAdmin 启动阶段就检测到加密密钥不合法，拒绝进入认证流程。
config.inc.php 和 config.default.php 的 $cfg['blowfish_secret'] 必须同时存在且完全一致
很多用户只改了 config.inc.php，却忽略了 libraries/config.default.php（尤其 LNMP 一键包默认不生成 config.inc.php，直接读取后者）。phpMyAdmin 会按顺序加载这两个文件，若后者中 $cfg['blowfish_secret'] = ''; 未被覆盖，就会触发警告。
- 检查路径：
/usr/local/nginx/html/phpmyadmin/libraries/config.default.php（LNMP 默认部署路径） - 确认两处都设置了非空值，且字符串内容逐字节相同（包括空格、换行）
- 不要用中文、全角符号或不可见字符；建议用
openssl rand -base64 32生成
$cfg['blowfish_secret'] 必须是恰好 32 字节的字符串
phpMyAdmin 5.0+ 强制校验长度，'123456' 或 'cookie' 这类短字符串会直接报“太短”，而超长（如 64 字节）也可能被截断或引发 session 加密异常。
- 用
echo -n "your_secret" | wc -c确认字节数 - 避免使用
mb_strlen()—— 它算字符数，不是字节数；UTF-8 下中文占 3 字节 - 示例合格值：
$cfg['blowfish_secret'] = 'Xk2v9QzR7pLmN4sTfBhYcWjEaDgVnUoI';（32 ASCII 字符 = 32 字节）
auth_type 不为 'cookie' 时 blowfish_secret 会被忽略，但页面仍可能误报
如果误设 $cfg['Servers'][$i]['auth_type'] = 'config';，phpMyAdmin 不走 cookie 认证，$cfg['blowfish_secret'] 实际不参与流程。但前端仍会检查该字段是否存在/合法，并显示提示——这是 UI 层的静态校验，和实际逻辑脱钩。
立即学习“PHP免费学习笔记（深入）”；
- 搜索整个配置文件，确认没有残留的
auth_type = 'config'或'http' - 若确需 config 模式（不推荐），应屏蔽或注释掉 blowfish_secret 相关提示逻辑（非标准做法，易出安全问题）
- LNMP 环境下常见于从旧备份复制配置后未清理注释块
浏览器缓存了带错误提示的 HTML，导致改完配置也不生效
phpMyAdmin 登录页是静态生成的，一旦某次请求返回了含“需要短语密码”的 HTML，Nginx 或浏览器可能缓存它。你改完了 PHP 配置，但浏览器还在展示旧响应。
- 强制刷新：Ctrl+F5（Windows）或 Cmd+Shift+R（macOS）
- 清空当前站点所有 Cookie + Storage（不只是 phpMyAdmin 域名，包括 localhost）
- 临时在 Nginx 的 phpMyAdmin location 块加：
add_header Cache-Control "no-cache, no-store, must-revalidate";
真正麻烦的不是填对 32 字节字符串，而是两个配置文件的同步、字节长度的精确控制、以及缓存导致的“明明改了却不生效”假象——这三者叠加，最容易让人反复试错却找不到根因。
