如何解决phpMyAdmin提示blowfish_secret过短？-phpMyAdmin-PHP中文网

phpMyAdmin 5.2+强制要求$cfg['blowfish_secret']≥32字节，因其底层AES-256-CBC加密严格依赖32字节密钥，短于该长度会导致cookie加密失败、登录后立即登出或反复跳转至登录页。

必须填满32个字符，少一个都不行；手敲数字或字母组合基本等于白忙活。

为什么`blowfish_secret`长度不够就报错

phpMyAdmin在auth_type = 'cookie'模式下，用blowfish_secret加密会话token，底层依赖AES-256——它硬性要求密钥长度≥32字节（不是字符数，但UTF-8下ASCII字符=字节）。填了'123456'或'abc'，PHP解析后长度才6或3，直接触发“密文太短”错误，登录页可能白屏、反复跳转，或提示“配置文件现在需要一个短语密码”。

常见错误现象：

改完$cfg['blowfish_secret'] = '1234567890';仍报错 → 长度仅10
用中文、emoji、空格或$\等符号 → PHP解析失败或截断
复制粘贴时带隐藏Unicode字符（比如零宽空格）→ 实际长度≠显示长度

怎么生成合规的`blowfish_secret`

别手敲，用命令或PHP函数生成确定长度的随机字符串：

终端执行：openssl rand -base64 24 | tr -d '\n' | cut -c1-32（取前32位，确保无换行）
或在PHP里运行：bin2hex(random_bytes(16)) → 得到32位十六进制字符串，直接可用
如果只有文本编辑器，可临时用在线工具生成32位纯ASCII随机串（选“字母+数字+符号”，避开$@%等易出问题的符号）

示例有效值：$cfg['blowfish_secret'] = 'Xq9vLm2RtFpYzKjWnBhDcGxS8aEiOu7N';

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

`$cfg['blowfish_secret']`写在哪才生效

位置错=没写。它必须出现在$cfg['Servers'][$i]任何配置之前，且只能出现一次（后赋值不覆盖，只认第一个）：

✅ 正确顺序：$cfg['blowfish_secret'] = '...'; → $i = 0; → $cfg['Servers'][$i]['host'] = 'localhost';
❌ 错误位置：写在$i++之后、写在/* End of servers */注释下面、写在$cfg['Servers'][$i]['auth_type'] = 'cookie';同一段里
⚠️ 注意：如果你用的是config.sample.inc.php，记得重命名为config.inc.php再改；config.default.php是只读模板，改了也不起作用

改完还报错？这些细节常被忽略

生成和填写只是第一步，漏掉任一环节都会让前面操作失效：

改完config.inc.php必须重启Web服务（sudo systemctl restart apache2或sudo systemctl restart nginx php-fpm）
浏览器缓存旧cookie，导致新密钥无法解密旧会话 → 清除当前域名下所有phpMyAdmin相关cookie，或用隐身窗口测试
文件权限不对（如设成777）可能被phpMyAdmin拒绝读取 → 推荐chmod 644 config.inc.php
多个$cfg['blowfish_secret']赋值语句共存 → 只有第一个生效，后面会被忽略（PHP变量覆盖逻辑）

最麻烦的是：错误提示本身不告诉你哪一行错了，只说“太短”——所以优先核对长度和位置，比猜编码问题更高效。