不能安全存储和调用多台远程主机的root连接凭证，因config.inc.php明文存储会暴露密码，'config'认证模式自动直连绕过身份校验，且root高权限一旦失陷即导致整库失控；应改用专用低权账号、cookie/http认证、SSH隧道及禁用AllowArbitraryServer。
不能安全存储和调用多台远程主机的 root 连接凭证。这是设计上不可行且违反最小权限原则的操作，任何尝试都会放大攻击面、增加审计难度，并直接违背 MySQL 8.0+ 和 phpMyAdmin 官方安全建议。
为什么 config.inc.php 里硬编码 root 凭据是危险源
phpMyAdmin 的 config.inc.php 是纯文本文件，若被 Web 服务器配置错误（如 .php 文件被当作静态资源返回）、或因备份/日志泄露，root 密码将明文暴露。更关键的是：$cfg['Servers'][$i]['auth_type'] = 'config' 模式下，phpMyAdmin 会自动用该凭据连接，不校验用户身份——相当于把数据库 root 钥匙挂在登录页门口。
- 即使加了
Require ipApache 限制，一旦 phpMyAdmin 自身存在 RCE 或 SSRF 漏洞，攻击者仍可借其上下文直连目标库 -
root用户在远程主机上通常拥有GRANT OPTION和SHUTDOWN等高危权限，一次失陷等于整库失控 - MySQL 8.0+ 默认禁用
root@'%'，但硬编码后 phpMyAdmin 会主动尝试连接，反而可能触发暴力探测日志或账号锁定
替代方案：用非 root 用户 + 显式认证流程
真正可行的做法是彻底放弃存储 root 凭据，改用带明确作用域的专用账号，并强制每次登录时手动输入：
- 为每台远程主机创建独立账号，例如
pmadb_admin@'192.168.5.10'，只授予必要库的SELECT,INSERT,UPDATE,DELETE,CREATE,ALTER,DROP权限，禁用GRANT OPTION - 在
config.inc.php中设$cfg['Servers'][$i]['auth_type'] = 'cookie'或'http'，禁止config模式 - 删掉
$cfg['Servers'][$i]['user']和$cfg['Servers'][$i]['password']行，让登录页弹出输入框 - 启用
$cfg['Servers'][$i]['AllowRoot'] = false，确保即使有人输对了 root 密码也会被拒绝
如果必须管理多台主机，优先走 SSH 隧道而非直连
绕过公网暴露 3306 端口，是最有效的降权手段。操作链路清晰、凭证不落地：
立即学习“PHP免费学习笔记（深入）”；
- 本地执行
ssh -L 3307:127.0.0.1:3306 user@remote-host-1，再配 phpMyAdmin 连localhost:3307 - 每个隧道用独立密钥对，禁用密码登录；SSH 服务端设
AllowUsers白名单 - phpMyAdmin 配置中
$cfg['Servers'][$i]['host']始终写localhost，不出现任何远程 IP - 避免使用
$cfg['AllowArbitraryServer'] = true—— 它允许用户在登录页填任意 host，等于开放任意 TCP 连接能力
真正难处理的不是“怎么存”，而是“谁该有权限连”。生产环境里，root 凭据不该出现在任何自动化配置中，包括 phpMyAdmin、Ansible 变量、Docker env 文件。它只应存在于运维人员记忆里，或受控的密码管理器中，且每次使用都需二次确认。
