默认phpMyAdmin配置等于敞开数据库大门，因其默认路径（/pma或/phpmyadmin）可被任意IP访问，若未启用HTTP认证、未改目录名、未限制来源，攻击者一次扫描即可直连；2026年4月曝出的未授权访问漏洞即因此导致无需密码即可操作数据库。
为什么默认的 phpMyAdmin 配置等于敞开数据库大门
宝塔面板安装 phpMyAdmin 后，/pma 或 /phpmyadmin 路径默认可被任意 IP 访问，且若未启用 HTTP 认证、未改目录名、未限制来源，攻击者只需一次扫描就能直连数据库管理界面。2026 年 4 月曝出的 宝塔 phpmyadmin 未授权访问漏洞 就是典型后果：开放面板端口（如 8888）+ 未配认证 = 无需密码即可操作数据库。
必须禁用的三项 phpMyAdmin 默认行为
这些配置藏在 /www/server/phpmyadmin/config.inc.php 或 Nginx/Apache 的站点配置中，不手动关掉就形同虚设：
-
$cfg['Servers'][$i]['auth_type']不能设为'config'—— 这会把数据库账号密码明文写死在文件里，一旦 Web 目录被意外解析或泄露，全库沦陷 -
$cfg['UploadDir']和$cfg['SaveDir']必须留空或注释掉 —— 否则攻击者可通过“导入”功能上传恶意 PHP 文件并执行 -
$cfg['AllowArbitraryServer'] = true必须删掉或设为false—— 否则用户能手动填写任意 MySQL 地址，绕过白名单限制连接内网其他数据库
Nginx 层强制访问控制（宝塔用户直接改配置文件）
在宝塔后台 → 网站 → 对应站点 → “配置文件”中，在 server 块内插入以下规则（注意替换 your.public.ip.address）：
location /pma {
deny all;
allow 192.168.1.0/24;
allow your.public.ip.address;
deny all;
}
如果已将 phpMyAdmin 改名为 /mydbadmin，就把 /pma 换成对应路径。关键点：deny all 必须出现在 allow 之前，否则会被忽略；宝塔不会自动重载该配置，改完要点“保存”再点“重载 Nginx”。
立即学习“PHP免费学习笔记（深入）”；
HTTPS + 目录重命名 + Fail2ban 三件套缺一不可
只做其中一项，加固效果打对折：
- HTTPS 不是可选项：在宝塔“网站”→ SSL 页面申请 Let’s Encrypt 证书，并勾选“强制 HTTPS”，否则登录凭据明文传输，中间人可秒抓
- 目录名必须改：进入
/www/server/phpmyadmin，重命名为类似db_20261020_ctrl的随机字符串，再同步更新 Nginx 的location路径和宝塔“软件商店”里 phpMyAdmin 插件的“访问地址”设置 - Fail2ban 必须监控 phpMyAdmin 日志：在宝塔“安全”→ “Fail2ban”中启用，并添加自定义 jail，匹配
access.log中连续出现的"GET /pma/"或 401/403 错误，封禁 IP 至少 1 小时
最易被忽略的是：改完目录名后，宝塔“软件商店”的 phpMyAdmin 插件仍会保留旧入口，必须手动卸载该插件，否则它可能重建默认路径并覆盖你的 Nginx 规则。
