phpMyAdmin 認證模式完整配置指南：config / http / cookie 三種模式差異與選型建議

核心配置項：auth_type

在 config.inc.php 中，$cfg['Servers'][$i]['auth_type'] 決定 phpMyAdmin 如何進行用戶認證：

$cfg['Servers'][$i]['auth_type'] = 'cookie'; // 推薦預設
// 可選值：'config' | 'http' | 'cookie'

三種模式深度對比

關鍵技術細節：為何 IIS 不支援 http 模式？

• http 模式依賴 $_SERVER['PHP_AUTH_USER'] 和 $_SERVER['PHP_AUTH_PW'] 變數
• Apache + mod_php：**自動** 將 HTTP Authorization 標頭解析填入這兩個變數
• IIS + CGI/FastCGI：**不傳遞** Authorization 標頭給 PHP 進程 (安全機制)，導致變數為空，認證失效
• 解決方案：IIS 環境**強制使用 cookie 模式**

cookie 模式最佳實踐配置

// config.inc.php 核心片段
$cfg['Servers'][$i]['auth_type'] = 'cookie';
$cfg['Servers'][$i]['host'] = 'localhost';
$cfg['Servers'][$i]['compress'] = false;
$cfg['Servers'][$i]['AllowNoPassword'] = false; // 禁止空密碼登入

// Blowfish 密鑰 (加密 Cookie 必須，32 字元隨機字串)
$cfg['blowfish_secret'] = 'a_very_long_random_string_here_32_chars_min';

// 登入 Cookie 有效期 (秒)
$cfg['LoginCookieValidity'] = 1440; // 24 小時
$cfg['LoginCookieStore'] = 0; // 0=瀏覽器關閉失效, 1=記住我 (需 blowfish_secret)

// 強制 HTTPS (生產環境必須)
$cfg['ForceSSL'] = true;

// 限制登入嘗試 (防暴力破解)
$cfg['LoginCookieDeleteAll'] = true; // 登出刪除所有 Cookie

生產環境部署清單

1. 強制 HTTPS：Nginx/Apache/IIS 配置 SSL、HSTS、$cfg['ForceSSL'] = true
2. 設定 blowfish_secret：openssl_random_pseudo_bytes(32) 生成，存入配置，**勿提交版控**
3. 禁用 root 遠程登入：MySQL CREATE USER 'pma_user'@'%' IDENTIFIED BY 'strong_pass'; GRANT SELECT,INSERT,UPDATE,DELETE ON *.* TO 'pma_user'@'%';
4. 限制存取 IP：Web 伺服器層面 allow 192.168.1.0/24; deny all; 或 VPN/堡壘機
5. 修改預設別名：Alias /my-secret-pma /usr/share/phpmyadmin 避免掃描器發現
6. 啟用雙因子認證 (2FA)：phpMyAdmin 4.8+ 內建 TOTP (Google Authenticator 相容)
7. 定期更新：訂閱安全公告，及時修補 CVE (如 CVE-2022-23807 等)

常見問題排查

總結

• config：僅限受信開發環境，**生產禁用**
• http：**Apache + mod_php 專屬**，IIS/Nginx+FastCGI **不可用**
• cookie：**通用首選**，支援所有 Web 伺服器、HTTPS、多用戶、記住我、2FA，**生產環境標準配置**
• 核心三件套：**cookie 模式 + HTTPS + blowfish_secret + IP 限制** = 較安全的 phpMyAdmin 部署