phpMyAdmin 安全配置指南：啟用 Cookie 認證保護 MySQL 資料庫

phpMyAdmin 直接管理 MySQL，若無認證保護，一旦入口暴露將導致資料庫洩露、篡改甚至刪除。本文說明如何透過修改 config.inc.php 啟用 Cookie 認證模式，並解釋三種認證模式差異與適用場景。

一、預設風險

全新安裝的 phpMyAdmin 預設使用 config 模式：直接在配置檔寫死帳號密碼，**無任何登入介面**，只要知道 URL 即可直接操作資料庫，風險極高。

二、三種認證模式對比

三、啟用 Cookie 認證步驟

1. 打開 phpMyAdmin 根目錄下的 config.inc.php。
2. 找到 $cfg['Servers'][$i]['auth_type'] 行。
3. 修改為：

$cfg['Servers'][$i]['auth_type'] = 'cookie';

4. （可選）設定 Blowfish 密鑰用於 Cookie 加密（強烈建議）：

$cfg['blowfish_secret'] = 'your_random_32chars_string_here'; // 32 字元隨機字串

5. 儲存並重新整理 phpMyAdmin 頁面，即會出現登入介面。

四、進階安全建議

1. 修改預設入口路徑：將 phpmyadmin 目錄重命名為難以猜測名稱（如 pma_x7k9），或配置 Nginx/Apache 限制存取 IP。
2. 強制 HTTPS：確保登入憑證傳輸加密。
3. 限制 root 遠端登入：MySQL 建立專用管理帳號，禁止 root 遠端連線。
4. 啟用雙因子認證（2FA）：phpMyAdmin 4.8+ 內建支援 TOTP。
5. 定期更新：關注 phpMyAdmin 安全公告，及時升級修補漏洞（如 CVE-2022-XXXX）。

五、常見問題

Q: 修改後無法登入？
A: 檢查 blowfish_secret 是否設定、Session 目錄是否可寫、Cookie 是否被瀏覽器阻擋。

Q: IIS 環境能用 http 模式嗎？
A: 不能。HTTP Basic Auth 依賴 Apache 模組，IIS 不支援。請統一使用 cookie 模式。

六、總結

將 auth_type 設為 cookie 並配置 blowfish_secret 是保護 phpMyAdmin 的最低標準。配合路徑隱藏、HTTPS 強制、IP 白名單、專用帳號、定期更新，可構建多層防護體系，將資料庫被攻破風險降至最低。