phpMyAdmin 无禁用 LOAD DATA INFILE 的配置项，能否执行完全取决于 MySQL 层：需回收用户 FILE 权限、设 secure_file_priv = NULL，并确保所有账号（含 root@localhost 等）均被覆盖，UploadDir 清空仅防文件上传，不阻止 SQL 页手动执行该语句。
phpMyAdmin 本身不提供禁用 LOAD DATA INFILE 的开关
你找不到相关配置项，不是漏看了，而是 phpMyAdmin 压根没实现这个功能。它的「导入」页本质是把上传的 SQL 文本拆解成多条 INSERT、CREATE 等语句逐条执行，而 LOAD DATA INFILE 是 MySQL 服务端原生命令，能否执行完全取决于 MySQL 层权限与配置，phpMyAdmin 不参与拦截或过滤。
必须在 MySQL 层回收 FILE 权限并设 secure_file_priv = NULL
只要用户有 FILE 权限且 secure_file_priv 允许读取某路径，任何客户端（包括 phpMyAdmin）提交的 LOAD DATA INFILE 都能成功执行——哪怕只是 SQL 导入页里粘贴了一行该语句。
-
REVOKE FILE ON *.* FROM 'pma_user'@'localhost'; FLUSH PRIVILEGES;—— 注意主机名必须精确匹配，'pma_user'@'%'和'pma_user'@'localhost'是两个不同账号 - 在
my.cnf的[mysqld]段写secure_file_priv = NULL（MySQL 8.0.17+），旧版可写secure_file_priv = ''，但必须重启 MySQL - 验证是否生效：
SELECT @@secure_file_priv;应返回NULL；SELECT User,Host,File_priv FROM mysql.user WHERE File_priv='Y';结果中不应出现目标用户
phpMyAdmin 的 UploadDir/Savedir 清空只能防上传，不防 SQL 手动执行
即使你在 config.inc.php 中设了 $cfg['UploadDir'] = '';，用户仍可在「SQL」页直接粘贴并执行 LOAD DATA INFILE '/var/lib/mysql-files/data.sql'——只要 MySQL 层没锁死，这条语句就有效。
- 清空
UploadDir和SaveDir只影响「导入/导出」页面的文件选择框和上传流程，对纯 SQL 执行无约束力 - 它真正阻止的是用户通过 Web 表单上传 .sql 文件后自动执行，而非手动构造语句
- 若你还想削弱脚本复用性，可删掉导出格式中的
sql和php，但这是辅助手段，不是核心防线
容易被忽略的关键点：FILE 权限回收必须覆盖所有可能账户
很多环境只撤了业务账号的 FILE，却忘了 root 或监控账号仍开着。只要任意一个被攻破的账号拥有 FILE 权限，LOAD DATA INFILE 就能绕过 phpMyAdmin 的所有前端限制。
立即学习“PHP免费学习笔记（深入）”；
- 检查
mysql.user表时别只查用户名，重点看Host列，'root'@'127.0.0.1'和'root'@'localhost'是独立记录 - 云数据库如阿里云 RDS 默认禁用
LOAD DATA INFILE，但如果你用的是自建 MySQL 连接 RDS，则需确认 RDS 实例参数组中local_infile和secure_file_priv是否真被锁定 - 如果应用层用了 ORM 或 DB 封装库，要确认它们没在连接初始化时偷偷启用
local_infile=True，否则攻击者可通过注入触发客户端读取本地文件
