localhost在MySQL中特指Unix socket或命名管道连接，强制绕过TCP/IP，比127.0.0.1更安全；但需确保仅创建'user'@'localhost'用户、启用skip_name_resolve、禁用root远程登录，并配合Web层IP白名单与防火墙四重防护。
直接在 phpMyAdmin 里填 localhost 就够了，但必须确认 MySQL 没开 DNS 解析
填 localhost 是最简单也最安全的做法——它强制走 Unix socket（Linux/macOS）或命名管道（Windows），完全绕过 TCP/IP 网络栈，连端口都不用暴露。但很多人填了 localhost 还能从远程连上，问题往往出在 MySQL 的 skip_name_resolve 没关，或者用户账号实际是 'user'@'%' 或 'user'@'192.168.%' 覆盖了它。
实操要点：
- 创建/编辑用户时，在「主机」字段**手动输入
localhost**，不要选「任意主机」或留空 - 检查是否已有同名用户匹配更宽泛的 host，比如
'myuser'@'%'—— MySQL 权限匹配按 host 字符串长度**降序优先**，%会压过localhost - 确认 MySQL 配置文件（
my.cnf或mysqld.cnf）里有skip_name_resolve = ON，否则 MySQL 可能把127.0.0.1反向解析成域名，再匹配到'user'@'%.example.com'这类规则 - 执行完后务必点「执行」并刷新页面，phpMyAdmin 不会自动
FLUSH PRIVILEGES，但新版通常会隐式触发；保险起见可手动执行FLUSH PRIVILEGES;
localhost 和 127.0.0.1 在 MySQL 里是两个完全不同的 host
这是最容易踩的坑：MySQL 把 localhost 当作特殊标识，代表 socket 连接；而 127.0.0.1 是标准 TCP 连接，走的是 3306 端口。如果你只建了 'user'@'localhost'，用 mysql -h 127.0.0.1 -u user 是连不上的，会报 Access denied —— 因为没匹配到任何账号。
所以：
立即学习“PHP免费学习笔记（深入）”；
- 要彻底锁死本地访问，只建
'user'@'localhost'，别碰127.0.0.1 - 如果应用代码里写的是
host: '127.0.0.1'，要么改代码，要么额外建一个'user'@'127.0.0.1'（但这就不是纯 localhost 语义了） - phpMyAdmin 自身连接 MySQL 用的也是
localhost或127.0.0.1，取决于它的config.inc.php里怎么配的$cfg['Servers'][$i]['host']，和你创建的用户无关
验证是否真生效：用不同方式连一下试试
光看 phpMyAdmin 界面显示不够，得实测。打开终端或另一台机器，跑这几条命令：
-
mysql -u your_user -p -h localhost→ 应该成功（socket） -
mysql -u your_user -p -h 127.0.0.1→ 应该失败（除非你显式建了该 host） -
mysql -u your_user -p -h 192.168.1.100（换成本地局域网 IP）→ 必须失败 - 从另一台机器 ssh 过去，执行
telnet your_db_server 3306→ 如果通了，说明 MySQL 绑定了0.0.0.0或防火墙没拦，但只要没对应用户，仍会卡在鉴权层
注意错误信息：Can't connect to MySQL server 是网络/端口问题；Access denied for user 才是权限或 host 匹配失败 —— 别被前者误导去调用户权限。
phpMyAdmin 本身也要防外部访问，别只盯数据库用户
就算数据库用户锁死了 localhost，如果 phpMyAdmin 被部署在公网可访问的 Web 服务器上，攻击者仍可能通过它连到其他数据库用户（比如 root）。所以还得同步限制 phpMyAdmin 的 HTTP 访问：
- 在 Apache/Nginx 配置里加 IP 白名单，比如 Apache 的
Require ip 127.0.0.1 - 或改 phpMyAdmin 的
config.inc.php：$cfg['Servers'][$i]['AllowDeny']['rules'] = ['deny % from all', 'allow % from 127.0.0.1']; - 禁用 root 远程登录：
$cfg['Servers'][$i]['AllowRoot'] = false; - 确保
$cfg['Servers'][$i]['auth_type'] = 'cookie'，避免密码硬编码在配置里
真正起作用的从来不是单点设置，而是数据库用户 host + MySQL 绑定地址 + 系统防火墙 + Web 层访问控制这四层叠在一起。少一层，就等于留了一道门缝。
