blowfish_secret长度必须≥32字节，否则AES-256-CBC加密失败，导致登录后立即登出或反复跳转登录页；该要求源于AES-256算法本身需32字节密钥，phpMyAdmin未做自动补全，短于32字节将传非法密钥给OpenSSL。
blowfish_secret长度不足会直接导致AES加密失败
phpmyadmin在cookie认证模式下，用$cfg['blowfish_secret']作为aes-256-cbc的密钥材料（实际经pbkdf2派生），但底层逻辑**硬性要求输入字符串长度 ≥ 32 字节**。少于32字节时，php的openssl_encrypt()或内部mcrypt兼容层会静默截断或填充异常，最终生成的加密cookie无法被后续openssl_decrypt()正确还原——表现就是登录后立刻登出、反复跳转到登录页，且无明确错误提示。
为什么32字节是硬门槛，不是“建议”
这不是phpMyAdmin自己定的规则，而是源于其依赖的加密流程对密钥熵的要求：
- AES-256需要256位（即32字节）密钥，若输入短于32字节，代码中未做补全逻辑，就会传给OpenSSL一个非法长度密钥
- phpMyAdmin 4.9+源码里有明确校验：
if (strlen($cfg['blowfish_secret']) → 触发<code>trigger_error()并禁用cookie认证 - 即使侥幸没报错（如旧版），密钥太短也会让PBKDF2迭代后的派生密钥强度骤降，等同于裸奔
常见“看似够长”实则无效的写法
这些写法在文件里看着像32字符，但运行时根本不符合要求：
-
$cfg['blowfish_secret'] = '12345678901234567890123456789012';—— 看似32位，但如果文件保存为UTF-8 with BOM，开头3字节BOM会被计入，导致实际可用字符只有29字节 -
$cfg['blowfish_secret'] = "a b" . str_repeat("x", 30);—— 换行符 - 用
md5('mykey')生成：结果是32字符，但md5输出是十六进制字符串（仅含0-9a-f），熵值远低于随机字节，且属于可预测派生，不满足密码学安全要求
生成和验证是否真有效的唯一可靠方式
别数字符，用PHP直接测：
php -r "$s = include '/path/to/config.inc.php'; echo strlen($cfg['blowfish_secret']) . "\n";"
必须输出32或更大。生成时务必用：
-
php -r "echo bin2hex(random_bytes(16));"—— 得到32位十六进制字符串，安全、简洁、无编码风险 - 或
openssl rand -hex 16（效果等价） - 生成后立即在config.inc.php中用单引号包裹赋值，避免Shell变量展开或引号嵌套问题
最易被忽略的一点：改完$cfg['blowfish_secret']后，必须确认它出现在$cfg['Servers']配置块之前——位置错，等于没设。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
