phpMyAdmin 不支持 SQL 关键词拦截，因其设计上不扫描语句内容；真正有效的防护需在 MySQL 服务端权限控制、ProxySQL 等中间件或网络层实现，而非依赖界面层过滤。
phpMyAdmin 本身不提供 SQL 关键词拦截功能，所有“在界面上拦 DROP/UNION/SELECT … INTO OUTFILE”之类的需求，必须绕开 phpMyAdmin 的 UI 层，在 MySQL 服务端或前置代理层实现。
为什么 phpMyAdmin 的配置里找不到关键词过滤开关
phpMyAdmin 是一个纯前端+后端脚本的数据库管理界面，它把用户输入的 SQL 原样发给 MySQL 执行。它的 config.inc.php 没有 $cfg['BlockKeywords'] 或类似选项——这不是遗漏，是设计上就不支持运行时 SQL 内容扫描。你改任何配置项，都无法让 sql.php 在执行前检查语句里有没有 DROP。
MySQL 层用 event_trigger 拦截（仅限 PostgreSQL）
这个标题容易误导：MySQL 不支持 event_trigger，那是 PostgreSQL 的机制。MySQL 用户如果真想在服务端中断恶意 DDL，唯一可行路径是：
- 用
CREATE TRIGGER拦不住DROP—— DDL 触发器在 MySQL 中不存在 - 靠
REVOKE DROP ON *.* FROM 'user'只能防低权限账号，DBA 登录照样执行成功 - 真正起效的只有中间件方案：比如用 ProxySQL 或 MaxScale 配置 SQL 匹配规则，对匹配
^s*drop | union select.*into outfile的语句直接拒绝
PHP 层临时补救：改 sql.php 加关键词扫描（不推荐）
如果你控制 phpMyAdmin 服务器且无法加代理，可手动修改其核心执行逻辑（风险极高，升级即覆盖）：
立即学习“PHP免费学习笔记（深入）”；
- 定位到
libraries/classes/SqlQuery.php或sql.php中实际调用mysqli_query()/PDO::exec()的位置 - 在执行前插入正则判断：
if (preg_match('/\b(drop|shutdown|load_file|into\s+outfile)\b/i', $sql)) { die('Blocked by keyword filter'); } - 注意：这种写法对注释包裹（
/* DROP */ TABLE）、大小写混写（dRoP）、十六进制编码（0x44524F50）基本无效 - 更严重的是，它会误杀合法字段名（如表名含
drop_ship）或注释里的单词
最常被忽略的一点：哪怕你在 phpMyAdmin 层加了关键词拦截，攻击者仍可通过 mysqli 直连、命令行 mysql 客户端、甚至其他 Web 接口绕过——真正的防线永远在权限最小化和网络隔离上，而不是指望某一层“多拦一个词”。
