不能直接用root登录phpMyAdmin，因其暴露高危账户于Web界面，一旦存在漏洞（如CVE-2023-50721）或遭撞库，攻击者可立即获得MySQL全实例控制权；应创建专用用户（如pma_user），仅授予必要库级权限，并配置phpMyAdmin使用cookie认证模式手动输入凭据。
为什么不能直接用 root 登录 phpMyAdmin
直接暴露 root 账户在 Web 界面是高危操作：一旦 phpMyAdmin 存在未修复漏洞（比如 CVE-2023-50721）、或服务器被撞库/弱口令入侵，攻击者立刻获得 MySQL 全实例控制权。LAMP 默认配置下，phpMyAdmin 的 config.inc.php 若设为 $cfg['Servers'][$i]['auth_type'] = 'config' 并硬编码 root 凭据，等于把钥匙挂在门把手上。
创建专用 MySQL 用户并限制权限
这个用户只应能管理指定数据库，且禁止跨库操作、禁止创建用户、禁止修改全局变量。别用 GRANT ALL PRIVILEGES ON *.* —— 这和 root 几乎没区别。
- 登录 MySQL 命令行（用系统 root 或已有高权账户）：
mysql -u root -p
- 创建用户（示例用户名
pma_user，密码强于123456）：CREATE USER 'pma_user'@'localhost' IDENTIFIED BY 'Y0ur$tr0ngP@ss!';
- 仅授予 phpMyAdmin 实际需要的权限（它不需要
DROP DATABASE或SHUTDOWN）：GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER, CREATE TEMPORARY TABLES, LOCK TABLES, EXECUTE, SHOW VIEW ON `your_app_db`.* TO 'pma_user'@'localhost';
- 强制刷新权限：
FLUSH PRIVILEGES;
注意：your_app_db 必须已存在；若需支持多库管理，对每个库重复 GRANT ... ON `db_name`.*，不要用 ON *.*。
配置 phpMyAdmin 使用该账户（不存明文密码）
改 config.inc.php 时，别选 'config' 认证模式。用 'cookie' 模式，让用户每次手动输入凭据 —— 这样即使配置文件泄露，也不直接暴露密码。
立即学习“PHP免费学习笔记（深入）”；
- 编辑
/etc/phpmyadmin/config.inc.php（路径因发行版而异，Debian/Ubuntu 常在此，CentOS 可能在/usr/share/phpMyAdmin/） - 找到
$cfg['Servers'][$i]['auth_type']行，改为：$cfg['Servers'][$i]['auth_type'] = 'cookie';
- 删掉或注释掉类似
$cfg['Servers'][$i]['user'] = 'root';和$cfg['Servers'][$i]['password'] = '...';的行 - 确保
$cfg['Servers'][$i]['host'] = 'localhost';（不要写成127.0.0.1，MySQL 对二者权限处理不同）
重启 Apache：sudo systemctl restart apache2（Debian/Ubuntu）或 sudo systemctl restart httpd（RHEL/CentOS）。
验证与常见陷阱
访问 phpMyAdmin 页面后，应弹出登录框，输入 pma_user 和密码。如果报错 #1045 Cannot log in to the MySQL server，优先检查三件事：
- MySQL 用户是否明确限定为
'pma_user'@'localhost'？用SELECT User,Host FROM mysql.user;确认，避免误建了'pma_user'@'%' - phpMyAdmin 配置中
host是否和 MySQL 用户的Host字段严格匹配？localhost≠127.0.0.1 - SELinux 或 AppArmor 是否拦截了 Apache 进程连接本地 socket？临时禁用测试：
sudo setenforce 0（仅调试）
真正麻烦的是权限粒度：phpMyAdmin 某些功能（如“关系视图”“PDF 页面生成”）会尝试查 information_schema 或 mysql 库的元数据表。若严格禁止所有跨库访问，这些功能会报错但不影响核心 CRUD。如必须启用，可额外授权：
GRANT SELECT ON `information_schema`.* TO 'pma_user'@'localhost';，但绝不授
mysql 库。 
