phpMyAdmin 登录界面只显示一台服务器需确保配置文件中仅保留一个连续索引的服务器配置（从1开始），彻底删除其他服务器块，禁用$cfg['AllowArbitraryServer']，并配合Web服务器IP限制和MySQL账号host绑定实现三重隔离。
phpMyAdmin 登录界面只显示一台服务器，是配置生效的前提
默认情况下，phpMyAdmin 的 config.inc.php 只定义一个服务器（$cfg['Servers'][1]），所以用户登录后自然只能看到这一个。想“限制”用户只看到某台，第一步不是加权限，而是确保其他服务器根本不出现在下拉列表里——否则用户点一下就能连过去，权限再严也白搭。
常见错误是：在配置里写了 3 台服务器，但只给其中 1 台设了 auth_type = 'cookie'，其余用 'config' 或漏配，结果 phpMyAdmin 启动时跳过无效项，最终只加载了第 1 台；或者索引没从 1 开始、中间断号（比如用了 [1] 和 [3]），导致第二台被忽略。
- 确认所有服务器配置都放在
config.inc.php主文件里，不要分散到libraries/config.default.php或其他 include 文件中 - 每个服务器块必须使用连续整数索引，从
1开始：$cfg['Servers'][1]、$cfg['Servers'][2]……不能跳或用字符串 - 删掉你不想暴露的服务器配置块——不是注释掉，是彻底移除。注释仍可能被解析或引发索引错位
- 改完后清空浏览器缓存 + phpMyAdmin 会话（可删
/tmp下 session 文件），避免旧配置残留
禁用任意服务器切换功能（$cfg['AllowArbitraryServer']）
即使只留一台服务器配置，如果 $cfg['AllowArbitraryServer'] = true，攻击者仍可通过构造 POST 请求绕过下拉菜单，直接提交任意 server 参数连上未配置的实例（比如本地 127.0.0.1:3307）。这个开关必须关。
- 在
config.inc.php中搜索AllowArbitraryServer，设为false（默认就是 false，但务必确认没被改成 true） - 如果之前为支持多服务器开过此选项，现在只留单台，必须显式设为
false，不能依赖默认值 - 该设置影响所有用户，不区分角色——它控制的是界面和协议层的入口，不是权限层
限制 phpMyAdmin 自身访问来源（IP 层隔离）
用户能访问 phpMyAdmin 页面，不代表他能连上后台 MySQL。但如果 phpMyAdmin 部署在公网或大内网，仅靠配置过滤不够——得先拦住非授权 IP 访问 phpMyAdmin 入口本身。
立即学习“PHP免费学习笔记（深入）”；
- 最简方式：在
config.inc.php开头加 IP 检查（适合固定办公网段）：if (substr($_SERVER['REMOTE_ADDR'], 0, 10) !== '192.168.10.') { die('Access denied'); } - 更可靠方式：用 Web 服务器层控制，例如 Nginx 的
allow/deny或 Apache 的Require ip，避免 PHP 解析开销 - 云环境必须同步配安全组：只放行运维终端 IP 到 phpMyAdmin 所在服务器的 80/443 端口，别只信应用层判断
MySQL 用户账号本身要绑定具体 host，不能只靠 phpMyAdmin 配置
phpMyAdmin 是个前端工具，它连接 MySQL 用的仍是标准 MySQL 协议。如果你给用户分配的 MySQL 账号是 'user'@'%'，那他只要拿到账号密码，换任何客户端（mysql CLI、DBeaver）都能连——phpMyAdmin 的“限制”形同虚设。
- 创建账号时必须指定 host：用
CREATE USER 'app'@'192.168.10.5'或'app'@'192.168.10.%'，禁止用'%'（除非真需要全网访问） - 确认 MySQL 的
bind-address没设成127.0.0.1，否则外部 IP 根本连不上端口，会卡在连接超时而非权限拒绝 - 防火墙（ufw/firewalld）和云安全组必须允许该 IP 段访问 MySQL 端口（默认 3306），否则用户看到的是 “Connection refused”，容易误判为 phpMyAdmin 配置问题
真正起作用的从来不是 phpMyAdmin 界面里的勾选框，而是三重隔离：phpMyAdmin 配置决定“能看到什么入口”，Web 服务器决定“谁能打开这个入口”，MySQL 账号 host 字段决定“谁能在协议层连上数据库”。少一层，限制就漏了。
