真正起作用的是MySQL用户host字段及网络层配合：需用CREATE USER 'u'@'192.168.10.%'限定内网，设bind-address为内网IP或0.0.0.0，防火墙放行3306端口并限制源IP，同时phpMyAdmin Web入口也需配置IP白名单。
不能只在 phpMyAdmin 界面里点几下就让用户“仅内网可访问”——真正起作用的是 MySQL 用户的 host 字段，以及服务器网络层的配合。
MySQL 用户 host 必须显式限定为内网 IP 或通配符
phpMyAdmin 的「添加用户」页面里填的「主机」字段，就是 MySQL 的 host 值，它决定该账号能否从哪个地址连进来。填 localhost 只能本机 socket 连接；填 192.168.10.% 才允许整个 C 段（192.168.10.0–192.168.10.255）TCP 连接。
- 推荐用精确网段通配符：
CREATE USER 'admin'@'192.168.10.%' IDENTIFIED BY 'strongpass'; - 避免用
%（匹配任意主机），哪怕你后续加了防火墙，也属于权限冗余 - 如果只允许单台管理机，直接写死 IP：
'192.168.10.5'，比通配符更安全 - 执行完记得
FLUSH PRIVILEGES;，否则新用户不生效
phpMyAdmin 自身也要限制访问来源
即使数据库用户已限定内网，phpMyAdmin 的 Web 入口仍可能被外网扫描到。它的 config.inc.php 支持基于 IP 的黑白名单控制，靠的是 Apache/Nginx 的底层规则或自身配置。
- 在
config.inc.php中启用 AllowDeny（需 PHP 版本支持）：$cfg['Servers'][$i]['AllowDeny']['order'] = 'deny,allow'; $cfg['Servers'][$i]['AllowDeny']['rules'] = array( 'deny from all', 'allow from 192.168.10.0/24' ); - 注意：这个规则只对 phpMyAdmin 的登录页起作用，不影响它连接后执行的 SQL；真正的连接限制还在 MySQL 层
- 若用 Nginx，更推荐在 server 块中用
allow/deny直接拦截请求，比 phpMyAdmin 自带逻辑更早、更可靠
MySQL 服务必须监听内网地址，且防火墙放行
用户 host 设对了，但 MySQL 本身没对外提供服务，照样连不上。常见错误是 bind-address = 127.0.0.1 —— 这会让 MySQL 拒绝所有非本地 TCP 请求。
立即学习“PHP免费学习笔记（深入）”；
- 检查
my.cnf中的bind-address：设为0.0.0.0（全接口）或具体内网 IP（如192.168.10.100） - 确认系统防火墙（ufw/firewalld）放行了 3306 端口，并限制源 IP：
ufw allow from 192.168.10.0/24 to any port 3306 - 云服务器还要同步检查安全组规则，漏掉这一环，错误提示常是
Connection refused，容易误判为权限问题 - 建议关闭 DNS 解析：
skip_name_resolve = ON，避免因反向解析失败导致连接延迟或失败
最易忽略的一点：phpMyAdmin 是个前端工具，它不参与 MySQL 的连接鉴权逻辑。所谓“仅内网可访问”，其实是三层叠加的结果——MySQL 用户 host、MySQL 服务 bind 地址、Web 层访问控制。少任何一层，都可能让本该隔离的入口意外暴露。
