phpMyAdmin如何配置Referrer-Policy响应头-phpMyAdmin-PHP中文网

phpmyadmin 无法通过 config.inc.php 设置 referrer-policy，因其无对应配置项或响应头注入钩子，必须由 nginx/apache 在 server 或 location 块中用 add_header ... always 统一注入，覆盖所有响应（含静态文件、304等）。

phpmyadmin 本身不提供内置配置项来设置 referrer-policy 响应头，必须通过 web 服务器（nginx/apache）或反向代理层统一注入，否则该头不会生效。

为什么 phpMyAdmin 的 config.inc.php 不能设 Referrer-Policy

phpMyAdmin 是 PHP 应用，其 config.inc.php 控制的是自身逻辑行为（如认证方式、界面选项），不干预 HTTP 响应头的全局输出。它没有类似 $cfg['ReferrerPolicy'] 或 header('Referrer-Policy: ...') 的默认钩子或配置入口；即使你在自定义 PHP 脚本里手动加 header()，也仅对 PHP 输出路径有效（如 /index.php），但无法覆盖静态资源（/js/*、/themes/*、/favicon.ico）——而这些资源请求同样会携带 Referer，且更常被扫描工具检测。

Nginx 下为 phpMyAdmin 站点添加 Referrer-Policy

最稳妥的做法是在 Nginx 的 server 块或 location 块中使用 add_header，并配合 always 参数确保所有响应（包括 304、204、静态文件）都带上该头：

若 phpMyAdmin 是独立子域名（如 phpmyadmin.example.com），直接在对应 server 块顶部加：
```
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
```

若 phpMyAdmin 是主站下的路径（如 example.com/phpmyadmin/），需在匹配该路径的 location 块内添加：

location /phpmyadmin/ {<br>    add_header Referrer-Policy "strict-origin-when-cross-origin" always;<br>    # 其他原有配置（如 alias、fastcgi_pass）保持不变<br>}

注意：不要只写 add_header Referrer-Policy ...;（缺 always），否则 304 响应将丢失该头，导致安全扫描误报

Apache 下启用 Referrer-Policy（.htaccess 或虚拟主机）

phpMyAdmin 运行在 Apache 上时，推荐在虚拟主机配置中设置，避免依赖 .htaccess（可能被禁用或忽略）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

编辑站点的 VirtualHost 配置，在 <directory></directory> 或全局 <location></location> 块中加入：
```
Header always set Referrer-Policy "strict-origin-when-cross-origin"
```
确保启用了 mod_headers 模块（a2enmod headers）
若只能用 .htaccess，放在 phpMyAdmin 根目录下，并确认 AllowOverride All 已启用：
```
Header always set Referrer-Policy "strict-origin-when-cross-origin"
```

验证是否生效及常见失效点

配置后必须验证，因为很多看似“成功”的设置实际未覆盖全部响应：

用浏览器开发者工具 → Network → 点开任意请求（如 /phpmyadmin/index.php、/phpmyadmin/js/jquery.js、/phpmyadmin/favicon.ico），检查 Response Headers 中是否存在 Referrer-Policy
常见失效原因：
– Nginx/Apache 配置未重载（nginx -t && nginx -s reload 或 systemctl reload apache2）
– 多层代理（如 CDN、WAF）覆盖了源站响应头，需在边缘节点同步配置
– phpMyAdmin 被嵌入 iframe 时，父页面策略优先级更高，此时需目标页面自己设头

真正起效的不是某一行配置，而是它是否出现在每一个 HTTP 响应里——尤其是那些你容易忽略的 204、304 和静态资源响应。