$cfg['AllowArbitraryServer'] = false仅隐藏前端输入框，不拦截请求；需同步禁用MySQL远程用户授权、配置AllowDeny规则及Apache IP白名单。
为什么$cfg['AllowArbitraryServer'] = false不是唯一解
很多人改完这行就以为“禁止了任意主机登录”，结果发现还能在登录页手动填 10.0.2.5 或 db-prod.internal 并连上。问题在于：这个配置只控制「是否显示服务器下拉框和输入框」，不拦截实际请求。只要攻击者知道目标地址+有凭据，直接 POST 到 index.php 仍能绕过前端限制。
必须同步关闭 MySQL 层的远程用户授权
禁用任意主机登录的本质，是让 MySQL 拒绝来自非白名单 host 的认证请求。光靠 phpMyAdmin 配置没用，得从数据库用户表动手：
- 查真实存在的远程 root：
SELECT Host, User FROM mysql.user WHERE User = 'root' AND Host != 'localhost'; - 删掉所有
root@'%'、root@'192.168.%'这类记录：DROP USER 'root'@'%';（MySQL 8.0+ 必须用DROP USER，别用DELETE FROM mysql.user） - 执行
FLUSH PRIVILEGES;，否则内存缓存可能继续放行 - 确认只剩
root@localhost和你明确允许的内网 host（如root@'10.0.0.5'）
phpMyAdmin 配置里真正起效的三处硬限制
前端隐藏 + 后端校验 + 路径隔离，缺一不可：
- 在
config.inc.php中设$cfg['AllowArbitraryServer'] = false;（关掉输入框） - 为每个
$cfg['Servers'][$i]显式指定'host' => '127.0.0.1'，不要留空或写成变量 - 启用 IP 白名单：
$cfg['Servers'][$i]['AllowDeny']['order'] = 'deny,allow';和$cfg['Servers'][$i]['AllowDeny']['rules'] = ['deny % from all', 'allow % from 127.0.0.1'];
注意：AllowDeny 规则只对 phpMyAdmin 自己发起的连接生效，不替代防火墙或 MySQL 的 bind_address。
立即学习“PHP免费学习笔记（深入）”；
最容易被忽略的 Apache 层暴露点
即使上面全做了，如果 Apache 的 phpmyadmin.conf 里写了 Require all granted，外网就能直接访问登录页——然后随便输个已知账号密码（比如应用数据库账号），照样连上你允许的那个固定 host。必须检查并改成：
<Directory /usr/share/phpmyadmin>
Require ip 127.0.0.1
Require ip 10.0.0.0/8
</Directory>
路径要和你实际部署位置一致；若用了反向代理，还得加 RemoteIPHeader X-Forwarded-For 才能取到真实 IP。
