phpMyAdmin本身不提供告警通知功能，所有登录告警必须依赖外部日志监控系统实现；它不写auth日志、不发邮件、不集成webhook，升级会覆盖源码修改，mail()函数常禁用，高频写文件易致I/O阻塞和500错误。
phpMyAdmin 本身不提供告警通知功能，所有“登录告警”必须依赖外部日志监控系统实现。 它不写 auth 日志、不发邮件、不集成 webhook，任何宣称“在 config.inc.php 里配个参数就能告警”的说法，都是混淆了 phpMyAdmin 和运维基础设施的职责边界。
为什么直接改 phpMyAdmin 源码加告警行不通
有人尝试在 AuthenticationCookie.php 里插入 mail() 或 file_put_contents() 记录失败次数，这类操作有三个硬伤：
- 每次 phpMyAdmin 升级，修改的文件会被覆盖，且无提示；
- PHP 的
mail()函数在多数服务器上默认禁用或配置缺失，发不出邮件； - 高频并发登录下，直接写文件易引发 I/O 阻塞，反而导致登录页面卡死或 500 错误。
真正有效的告警路径：从 access.log 提取登录失败事件
phpMyAdmin 的登录行为全部落在 Web 服务器日志里。关键不是“怎么让它发告警”，而是“怎么让日志里的失败行为被准确识别并触发动作”。
- Apache 的
access.log中，关注POST /phpmyadmin/index.php或POST /phpmyadmin/login.php+ 状态码401或302（后者需结合响应头判断是否跳转失败）； - Nginx 的
access.log中，$request字段若含login_form=1或token=参数，配合status=401可定位失败请求； - fail2ban 的
phpmyadmin.conf规则必须匹配具体日志格式，例如 Nginx 下要用^<host> -.*"POST /phpmyadmin/[^"]+ HTTP/[^"]+" 401</host>，而非 Apache 默认规则； - 告警动作不能只封 IP——要同时触发脚本向 Slack/企业微信发消息，例如用
actionban = curl -X POST -H 'Content-Type: application/json' -d '{"text":"phpMyAdmin login flood from <ip>"}' https://hooks.slack.com/...</ip>。
避免漏报的关键配置点
很多团队配置了 fail2ban 却收不到告警，问题常出在日志源头没对齐：
立即学习“PHP免费学习笔记（深入）”；
- 确保 Web 服务器记录了真实客户端 IP：Nginx 要配
real_ip_header X-Forwarded-For;并设set_real_ip_from；Apache 要启用mod_remoteip； - 关闭
$cfg['LoginCookieRecall'] = false，否则攻击者重放 Cookie 不产生新日志，完全绕过监控； - 如果用了 CDN 或反向代理，必须在日志格式中显式记录
$http_x_forwarded_for，否则 fail2ban 看到的全是 CDN 节点 IP； - 不要依赖 MySQL 错误日志做登录告警——
mysqli_real_connect(): (HY000/1045)出现在 error.log 里，但 fail2ban 默认不监控该文件，且错误频次远低于实际登录请求频次。
高频登录告警的本质是日志解析精度问题，不是 phpMyAdmin 功能缺失问题。把 access.log 当成唯一事实源，用 fail2ban 做实时匹配，再用外部工具做通知分发——这条链路上任何一个环节配置错位，告警就会静默失效。
