phpMyAdmin 5.x 通过默认禁用 config 认证、强化 SQL 注入防护、细化安全配置开关及提升 HTTPS/CSP 兼容性，显著增强安全性；但需手动配置并验证各项安全选项方可生效。
phpMyAdmin 5.x 的认证机制不再默认暴露明文凭证
4.x 版本中，config 认证模式被广泛使用，但会把 $cfg['servers'][$i]['user'] 和 $cfg['servers'][$i]['password'] 直接写在 config.inc.php 里，一旦 web 服务器配置出错（比如 php 文件被当成静态文件返回），密码就裸奔了。5.x 虽未移除该模式，但文档和安装向导默认引导用户选择 cookie 或 http 模式，强制登录流程走服务端 session 或 http auth，避免硬编码凭据。
实际部署时仍需检查：$cfg['Servers'][$i]['auth_type'] 是否为 'cookie' 或 'http'，而不是 'config'；同时确认 config.inc.php 文件权限是 600 或 640，且不在 Web 可访问路径下（如 Apache 的 DocumentRoot 内）。
SQL 注入防护在关键功能模块中加强了输入过滤
CVE-2020-26935（SearchController SQL 注入）影响 5.0.3 之前的所有 5.x 版本，说明早期 5.x 并非“免疫”，但修复后引入了更严格的白名单参数校验。例如：
-
tbl_select.php中的where条件不再直接拼接$_GET['where_clause']，而是经PMA\libraries\util::unQuote() + PMA\libraries\sql_parser::parse()双重解析校验 -
export.php对 CSV 导出字段名做了htmlspecialchars()+ 字段白名单限制（仅允许字母、数字、下划线），堵住 CVE-2020-22278 类漏洞入口 - 所有涉及
SELECT/INSERT的表单提交，都强制要求token参数，并校验 session 中的token值，防 CSRF 引发的越权执行
默认禁用高危操作，且配置项粒度更细
5.x 的 config.sample.inc.php 明确标注了更多安全相关开关，比 4.x 更早、更明确地引导关闭危险功能：
例如，以下几项在 5.x 中默认设为 false 或需显式启用：
-
$cfg['AllowArbitraryServer'] = false：禁止用户通过 URL 任意指定 MySQL 主机（4.x 默认为true，曾被用于 SSRF） -
$cfg['UploadDir'] = ''和$cfg['SaveDir'] = ''：禁用服务器端 SQL 文件上传/保存目录，规避文件写入类攻击 -
$cfg['EnableQbe'] = false：关闭“按示例查询”（Query by Example）功能，该功能在 4.x 中因动态生成 SQL 易触发注入 -
$cfg['Servers'][$i]['DisableIS'] = true：默认禁用 INFORMATION_SCHEMA 查询，减少元数据泄露面
这些不是“自动生效”的补丁，而是必须手动写入配置并重启 Web 服务才起效——很多人升级后只替换文件，却漏掉这步。
5.x 对 HTTPS 和 CSP 的兼容性更务实
4.x 在混合内容（HTTP 页面加载 HTTPS 资源）或严格 CSP 策略下常出现 JS 报错、AJAX 失败、界面卡死，导致管理员误关安全策略。5.x 从 5.1 开始主动适配：
比如 navigation.js 不再依赖全局 eval()，import.php 的文件读取改用 fetch() + FormData，避免被 unsafe-eval 或 unsafe-inline 拦截；config.inc.php 新增 $cfg['CSPAllow'] 配置项，可填入自定义域名白名单，方便对接企业级内容安全策略。
但注意：$cfg['CSPAllow'] 是 5.2.0+ 才有，旧版 5.0/5.1 仍需手动在 Nginx/Apache 中加 Content-Security-Policy 响应头，且必须包含 script-src 'self' 'unsafe-inline'（否则多数功能不可用）——这点容易被忽略，变成“开了 CSP 却无法登录”。
真正关键的不是版本号，是是否把 config.inc.php 里的安全开关全打开、是否关掉了 AllowArbitraryServer、是否让 token 校验链路完整跑通。5.x 提供了更细的控制杆，但没人替你扳下去。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
