为什么phpMyAdmin 5.2版本必须强制配置blowfish

$cfg['blowfish_secret']必须≥32字节，否则aes-256-cbc加密失败，导致登录后立即登出、反复跳转登录页；该限制源于openssl对aes-256密钥长度的硬性要求，phpmyadmin未做自动补全，短密钥将使加密cookie无法解密。

因为 phpmyadmin 5.2+ 默认启用 cookie 认证，而该模式底层依赖 aes-256-cbc 加密，必须传入 ≥32 字节的密钥材料，$cfg['blowfish_secret'] 就是这个密钥源 —— 没它，加密链直接断裂，登录态无法建立。

不配 `$cfg['blowfish_secret']` 会怎样？

不是“功能降级”，而是认证流程根本走不通：

页面底部持续显示“配置文件现在需要一个短语密码”，且无法关闭
输入账号密码后，HTTP 302 跳转回登录页，DevTools 中看不到 pmaAuth-* cookie
Apache/Nginx 日志里无报错，PHP 错误日志也静默 —— 因为失败发生在加密初始化阶段，早于日志记录时机
若侥幸绕过（如旧版 fallback），cookie 以明文存储，$_SESSION 可被任意伪造

`$cfg['blowfish_secret']` 必须 ≥32 字节的硬性原因

这不是 phpMyAdmin 自定规则，而是 OpenSSL 底层限制：

AES-256 要求密钥长度严格为 32 字节（256 位），openssl_encrypt() 收到短于 32 字节的字符串时，不会自动补零，而是返回 false 或静默截断
phpMyAdmin 5.2.0+ 源码中明确校验：if (strlen($cfg['blowfish_secret']) → 触发 <code>trigger_error() 并禁用 cookie 认证
即使跳过校验（如 patch 旧版），PBKDF2 派生出的子密钥熵值暴跌，等同于裸奔

为什么旧版本能“凑合用”，5.2 却不行？

关键变化在认证路径重构：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

5.1.x 及更早：cookie 加密逻辑存在兼容层，对短密钥尝试填充或容忍部分失败
5.2.x 起：移除 mcrypt 兼容代码，完全基于 OpenSSL 的 openssl_encrypt()/openssl_decrypt()，遵循 RFC 5652 严格校验密钥长度
同时废弃了 $cfg['Servers'][$i]['auth_type'] = 'http' 等非标准模式，'cookie' 成为事实默认，$cfg['blowfish_secret'] 从“可选”变为“强制前置依赖”

最容易被忽略的生效条件

填了 32 字符 ≠ 生效，位置和上下文必须精准：

必须写在 $cfg['Servers'][$i] 配置块之前，否则 phpMyAdmin 初始化时读不到
必须确保 $cfg['Servers'][$i]['auth_type'] = 'cookie' 已启用 —— 如果是 'config' 或 'signon'，该密钥根本不参与流程
不能放在注释块里、不能被 /* */ 包裹、不能有 UTF-8 BOM 头（BOM 会被计入长度）
修改后无需重启 Web 服务，但浏览器旧 cookie 会失效，需清空再试

真正卡住人的从来不是“怎么生成”，而是“为什么生成了还是报错”——绝大多数问题出在配置文件加载顺序、auth_type 实际值、以及那 32 字节是否真的被 PHP 当作纯字节读取。验证只有一招：php -r "echo strlen(include '/path/to/config.inc.php');" 输出必须 ≥32，且该行未被任何条件逻辑包裹。