应使用密码文件而非明文环境变量：用 PMA_PASSWORD_FILE 和 MYSQL_ROOT_PASSWORD_FILE 替代明文 -e 参数，配合 Docker secrets 或 chmod 400 的只读挂载文件，并在 Docker Compose 中通过 env_file 引入且加入 .gitignore；宝塔面板中禁用明文环境变量字段，PHPMyAdmin 的 config.inc.php 不得硬编码密码。
环境变量明文写在 docker run 命令里会泄露密码
直接用 -e pma_password=root123 启动容器，密码会留在 shell 历史、进程列表（ps aux）、docker inspect 输出里，任何人都能拿到。这不是“可能被看到”，而是默认就暴露。
- 用
PMA_PASSWORD_FILE=/run/secrets/db_password替代PMA_PASSWORD，配合 Docker secrets 或 bind mount 文件（权限必须是 400 或 440，属主为 root） - 如果不用 secrets，挂载文件时加
:ro，且确保宿主机上该文件不被其他用户读取：chmod 400 /path/to/pwd.txt -
MYSQL_ROOT_PASSWORD同样要按此方式处理——即使你连的是外部 DB，这个变量在官方镜像里仍会被读取并用于内部逻辑校验
Docker Compose 中的 environment 字段不能直接放敏感值
environment: 下写死密码，会导致 docker-compose.yml 文件本身变成敏感信息载体，容易误提交到 Git、被备份系统抓取、或被同事直接看到。
- 改用
env_file，例如env_file: .env.pma，再把.env.pma加入.gitignore -
.env.pma内容只写PMA_PASSWORD=xxx，不要带引号，否则会被当字符串字面量解析 - 注意：Compose 的
env_file不支持变量嵌套或注释行，空行和以#开头的行会被忽略，但别写错格式（如PMA_PASSWORD = xxx中的空格会导致变量为空）
宝塔 Docker 管理器填环境变量等于公开密码
宝塔面板的「环境变量」表单是明文存储+明文展示的，填进去的 PMA_PASSWORD 或 MYSQL_ROOT_PASSWORD 会在面板 UI、API 返回、日志里反复出现。
- 唯一安全做法：留空
PMA_PASSWORD和MYSQL_ROOT_PASSWORD，改用PMA_PASSWORD_FILE并挂载只读密码文件 - 挂载路径必须填绝对路径，且宝塔容器运行时需有权限读取该文件（常见坑：挂载到
/www/wwwroot/下但容器内 www-data 用户无权访问） - 别信“面板后台加密”——它不加密环境变量字段，只加密部分账号密码类配置项
PHPMyAdmin 容器内 config.inc.php 不该存密码
有人想把数据库凭据硬编码进 config.inc.php 再挂载进去，这比环境变量更糟：文件一旦挂载，就固定在容器 fs 层，docker exec -it pma cat /etc/phpmyadmin/config.inc.php 能直接看到所有内容。
- config 文件只该设行为参数，比如
$cfg['LoginCookieRecall'] = false;、$cfg['Servers'][$i]['auth_type'] = 'cookie'; - 凭据必须由环境变量或文件注入，让 phpMyAdmin 在启动时动态生成连接配置（官方镜像正是这么做的）
- 挂载 config 文件时，确认目标路径是
/etc/phpmyadmin/config.inc.php，不是旧版的/var/www/html/config.inc.php—— 后者已失效，挂了也不起作用
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
