白名单必须配在config.inc.php中，通过$cfg['Servers'][$i]['AllowDeny']控制谁可访问phpMyAdmin页面，与MySQL用户权限无关；它仅在PHP层拦截HTTP请求，不改变数据库授权逻辑，且需确保order为'deny,allow'、rules以'deny % from all'开头。
白名单必须配在 config.inc.php 里，不是数据库用户权限
IP 白名单控制的是谁「能打开 phpMyAdmin 页面」，和 MySQL 用户能操作哪些数据库是两层事。很多人混淆这两者，结果改了用户权限却拦不住外网访问，或者只配了白名单却忘了限制数据库权限，导致越权操作。
关键点在于：$cfg['Servers'][$i]['AllowDeny']['rules'] 这组配置必须写进 config.inc.php，且只对 phpMyAdmin 的 Web 入口生效。它不改变 MySQL 的任何授权逻辑，只是提前拒绝非白名单 IP 的 HTTP 请求。
- 修改前先确认
$cfg['Servers'][$i]['AllowDeny']['order']是'deny,allow'，顺序反了会失效 - 规则数组里必须包含
'deny % from all'开头，否则默认放行 -
%是通配符，代表任意用户名；你不能用它匹配 IP，只能用192.168.1.100或10.0.0.0/8这类 CIDR 格式 - 如果服务器在 NAT 后（比如宝塔、云服务器带安全组），要填的是「客户端真实出口 IP」，不是你本地局域网 IP
数据库级权限必须通过 MySQL 用户账户单独设置
白名单只管“谁能进大门”，不管“进门后能进哪间屋”。真正限制用户只能看到某个库，得靠 MySQL 的 GRANT 语句，或在 phpMyAdmin 的「用户账户」界面里操作。
常见错误是：给用户分配了 localhost 主机权限，但白名单允许的是公网 IP，结果用户能登录 phpMyAdmin，却连不上数据库，报错 #1045 Cannot log in to the MySQL server。
立即学习“PHP免费学习笔记（深入）”；
- 创建用户时，“主机”字段必须和实际连接来源一致：远程访问填具体 IP 或
%（不推荐），本地调试填localhost或127.0.0.1 - 全局权限（Global privileges）里不要勾选
SELECT、INSERT等——这些是服务器级权限，和库无关；它们只影响 performance_schema、information_schema 等系统库 - 数据库特定权限（Database-specific privileges）才是重点：选中目标库名 → 勾选
SELECT、INSERT等，**取消勾选GRANT OPTION和SUPER** - phpMyAdmin 默认显示所有数据库列表，但用户点击无权限的库时会提示“没有此数据库的权限”，这是正常行为，不是配置失败
Apache/Nginx 层还能再加一道白名单（推荐生产环境）
仅靠 phpMyAdmin 自带的 AllowDeny 不够可靠，因为它是 PHP 层逻辑，一旦配置出错或被绕过（比如上传恶意脚本），就形同虚设。Web 服务器原生支持更底层的访问控制。
例如 Apache 的 .htaccess 或主配置中加入：
Require ip 192.168.1.100 Require ip 2001:db8::1
Nginx 则用 allow/deny 指令，放在 location 块里：
location /phpmyadmin {
allow 192.168.1.100;
deny all;
}
- 这个层级的拦截发生在 PHP 执行前，性能更高，也更难绕过
- 如果用了 CDN 或反向代理（如 Nginx → Apache），注意
REMOTE_ADDR可能是代理 IP，需配合X-Forwarded-For处理 - 宝塔面板用户可在网站 → 设置 → 防火墙 → IP 白名单直接添加，比手改配置更稳妥
重命名入口路径比白名单更有效？别信这种说法
网上常有人说“把 /phpmyadmin 改成 /db-admin-2026 就安全了”，这是典型的安全错觉。只要没关掉目录遍历、没禁用扫描工具识别，攻击者几分钟就能撞出来。而且重命名后容易漏改 Apache 的 Alias 配置，导致 404。
真正有效的组合是：IP 白名单 + 数据库最小权限 + Web 服务器层拦截 + 关闭空密码登录（$cfg['Servers'][$i]['AllowNoPassword'] = false）。
最容易被忽略的一点：白名单规则不会自动继承到新添加的服务器配置块。如果你在 config.inc.php 里有多个 $cfg['Servers'][1]、[2]，每个都得单独配一遍 AllowDeny，漏一个就等于开了一扇没锁的窗。
