phpMyAdmin不拦截SQL执行，多表JOIN+ORDER BY+无LIMIT易致MySQL长查询或内存耗尽；其$cfg['ExecTimeLimit']仅限PHP脚本超时，对MySQL无效；须在MySQL层设max_join_size和sql_big_selects，并配权限控制与慢日志监控。
phpMyAdmin 本身不拦截或限流 SQL 执行，多表联查（尤其是 JOIN 多张大表 + ORDER BY + LIMIT 缺失）极易触发 MySQL 级别的长查询、内存耗尽或线程阻塞——这不是 phpMyAdmin 的 bug，而是它把用户输入的 SQL 原样交给 MySQL 执行。防御必须落在 MySQL 层和 phpMyAdmin 使用策略上，不能只靠界面开关。
为什么 phpMyAdmin 的“最大执行时间”配置无效
$cfg['ExecTimeLimit'] 只控制 phpMyAdmin 自身 PHP 脚本的执行超时（比如导出大结果集时的页面响应），对 MySQL 内部查询毫无约束。一旦用户在 SQL 窗口里提交一条 SELECT * FROM logs JOIN users ON ... ORDER BY created_at DESC，MySQL 就开始真实执行，PHP 超时根本拦不住。
- 该参数默认为 300 秒，改小（如设为 10）会导致正常大查询失败，但攻击者仍可发起多个并发查询绕过
- 它不作用于
sql.php或import.php的后端执行链，只影响前端渲染逻辑 - 即使 phpMyAdmin 页面报错超时，MySQL 进程仍在后台跑，资源已被占用
必须在 MySQL 层强制限制 JOIN 行为
MySQL 的 max_join_size 和 sql_big_selects 是唯一直接干预多表联查的原生机制，且 phpMyAdmin 无法绕过。
- 设置
SET GLOBAL max_join_size = 1000000;：强制所有 JOIN 查询返回行数不得超过该值，超限直接报错ERROR 1104 (42000): The SELECT would examine more than max_join_size rows - 禁用无限制全表扫描：
SET GLOBAL sql_big_selects = OFF;，此时任何未带WHERE或LIMIT的大表SELECT都会被拒绝 - 注意：这两个变量需在 MySQL 启动配置文件（
my.cnf）中固化，否则重启失效；仅用SET SESSION对 phpMyAdmin 用户无效，因每次请求新建连接
phpMyAdmin 侧能做的实际限制
你无法禁止用户写 JOIN，但可以切断其执行路径或增加攻击成本：
立即学习“PHP免费学习笔记（深入）”；
- 在
config.inc.php中关闭危险功能：$cfg['SQLQuery']['Edit'] = false;、$cfg['SQLQuery']['Explain'] = false;、$cfg['SQLQuery']['Refresh'] = false;—— 减少用户反复调试复杂查询的便利性 - 禁用导入功能：
$cfg['UploadDir'] = '';、$cfg['SaveDir'] = '';，防止通过 SQL 文件批量提交恶意查询 - 给 phpMyAdmin 数据库用户（如
pma用户）显式收回PROCESS和SUPER权限：REVOKE PROCESS, SUPER ON *.* FROM 'pma'@'%';，避免其调用KILL或查看其他会话 - 配合 Web 服务器做请求频率限制：Nginx 中对
/phpmyadmin/sql.php路径启用limit_req，例如每分钟最多 5 次 POST
真正有效的监控与兜底手段
防御 DoS 的关键不是“不让它发生”，而是“让它发生后立刻被发现并掐断”：
- 开启 MySQL 慢查询日志（
slow_query_log = ON），并设long_query_time = 1；定期用mysqldumpslow或pt-query-digest扫描含JOIN且无LIMIT的语句 - 在 phpMyAdmin 登录用户对应的 MySQL 账号上启用资源限制：
ALTER USER 'webapp'@'%' WITH MAX_QUERIES_PER_HOUR 3600 MAX_CONNECTIONS_PER_HOUR 60; - 最硬核但常被忽略的一点：不要让 phpMyAdmin 用户直接使用高权限数据库账号。应为它单独创建一个低权限账号，仅授予
SELECT（必要时加INSERT），且GRANT明确限定到具体库表，而非database.*
很多人以为只要 phpMyAdmin 界面没开“允许执行任意 SQL”就安全了，其实只要用户能访问 sql.php，就能 POST 任意语句——而这个入口默认永远开着。真正的防线不在 phpMyAdmin 配置里，而在 MySQL 的全局变量、账号权限和外部监控的组合闭环中。
