$cfg['blowfish_secret'] 必须为32字节随机密钥（如openssl rand -base64 32生成），用于cookie加密防伪造；禁用“123456”等弱值，否则导致登录异常、会话劫持及多实例cookie混淆。
直接用 openssl rand -base64 32 生成，别手敲、别复用旧密钥、别少于32字符——这是唯一安全且被官方实践验证的方式。
为什么不能手动填“123456”或日期字符串？
phpMyAdmin 的 $cfg['blowfish_secret'] 用于 Cookie 加密（auth_type = 'cookie' 时），不是密码强度校验，而是防止会话伪造和跨站 Cookie 混淆。它不参与数据库认证，但一旦弱或可预测，攻击者可能构造恶意 Cookie 绕过登录态校验。
常见错误现象包括：
- 页面底部持续显示「配置文件现在需要一个短语密码」
- 登录后跳转异常、登出反复弹窗、部分功能（如导入/导出）报 403
- 多个 phpMyAdmin 实例共存时互相干扰（比如测试环境和生产环境用同一台浏览器访问）
以下做法都不可取：
-
$cfg['blowfish_secret'] = '20260915';—— 时间字符串可预测，盐失效 -
$cfg['blowfish_secret'] = 'root123!';—— 长度不足且含常见模式，易被字典爆破 - 复制 config.default.php 里的空值或默认注释值 —— phpMyAdmin 5.2 默认仍为
''，不改必报错
正确生成并写入密钥的三步操作
假设你已将 phpMyAdmin 解压至 /usr/share/phpmyadmin/（Ubuntu/Debian 标准路径）或 /var/www/html/phpmyadmin/（手动部署）：
- 确认
config.inc.php存在：若只有config.sample.inc.php，先复制：sudo cp /usr/share/phpmyadmin/config.sample.inc.php /usr/share/phpmyadmin/config.inc.php - 用 OpenSSL 生成 32 字节随机 base64 字符串（实际输出约 44 字符，完全满足要求）：
openssl rand -base64 32 - 用
sed替换空密钥（注意单引号转义）：sudo sed -i "s/\$cfg\['blowfish_secret'\] = '';/\$cfg\['blowfish_secret'\] = '\$(openssl rand -base64 32)';/" /usr/share/phpmyadmin/config.inc.php
执行后检查结果：grep blowfish_secret /usr/share/phpmyadmin/config.inc.php 应返回类似：
$cfg['blowfish_secret'] = 'Xk9vZmJlcmFtZS1zZWNyZXQhISEhITExMjIzMzQ0NTU2Njc3ODg5';
注意：不要修改 libraries/config.default.php —— phpMyAdmin 5.2+ 已弃用该文件作为运行时配置源，改它无效；只认 config.inc.php。
权限与部署位置的影响
密钥本身不涉及权限问题，但写入位置错误会导致配置不生效：
- Debian/Ubuntu 官方包（如 Ondřej Surý 仓库安装）：配置文件路径固定为
/etc/phpmyadmin/config.inc.php，但该文件是符号链接，最终指向/usr/share/phpmyadmin/config.inc.php；直接改后者即可 - 手动解压部署：确保你编辑的是 Web 可访问目录下的
config.inc.php，而不是源码包里未复制的config.sample.inc.php - Apache/Nginx 用户权限：无需给
www-data写权限，config.inc.php只需读取权限（644足够），写入由管理员完成
如果改完仍报错，大概率是路径不对或 Apache/Nginx 缓存了旧 PHP opcache —— 重启服务或清空 opcache_reset() 即可，不是密钥问题。
blowfish_secret 不是密码哈希密钥，别和 bcrypt 混淆
这个字段名带 “blowfish” 容易误导，但它和 PHP 的 PASSWORD_BCRYPT 完全无关：$cfg['blowfish_secret'] 是 phpMyAdmin 自己用 mcrypt 或 openssl 扩展做的 Cookie 加密密钥，底层不调用 crypt() 或 password_hash()。
所以：
- 它不需要「轮换」——没有密钥生命周期管理机制，也不支持热更新
- 它不存储、不传输、不参与数据库连接认证，只在 PHP 进程内存中用于加解密 $_COOKIE
- 每次生成新密钥后，所有已登录用户的 Cookie 会立即失效（强制重新登录），这是预期行为，不是 bug
真正容易被忽略的一点：如果你用 Docker 或 CI/CD 自动部署 phpMyAdmin，必须把密钥生成步骤纳入初始化脚本，且不能写死——否则所有实例共享同一密钥，等于变相降低隔离性。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
