phpmyadmin 的会话 cookie 安全需显式配置 $cfg['cookiesecure'] = true 和 $cfg['cookiehttponly'] = true，仅在 config.inc.php 中设置才有效，其他 php 或 web 服务器配置无效。
PHPMyAdmin 默认不会自动为会话 Cookie 设置 Secure 和 HttpOnly 属性，这在 HTTPS 环境下属于安全疏漏。必须手动配置才能生效，且仅靠修改 PHP 或 Apache 配置不够——关键在 $cfg['CookieSecure'] 和 $cfg['CookieHttpOnly'] 这两个 phpMyAdmin 专属配置项。
确认你正在用 HTTPS 并启用 phpMyAdmin 的 Cookie 安全开关
phpMyAdmin 不会根据服务器是否启用 HTTPS 自动开启 Secure 标志，它完全依赖配置文件显式声明。如果你只配了 Web 服务器（如 Nginx 的 add_header）或 PHP 的 session.cookie_secure，对 phpMyAdmin 的登录 Cookie 没有效果。
-
$cfg['CookieSecure'] = true;必须设为true，且仅在 HTTPS 站点启用，否则登录会失败（重定向循环或“无法设置 Cookie”） -
$cfg['CookieHttpOnly'] = true;建议始终开启，防止 XSS 窃取会话 ID - 这两个配置必须写在
config.inc.php中，位置在$cfg['Servers'][$i]['auth_type']之后、任何/* End of servers configuration */注释之前
避免和 PHP 全局 session 设置冲突
phpMyAdmin 使用自己的会话管理逻辑，不直接复用 session_start() 的默认行为。若你在 config.inc.php 顶部错误地调用了 ini_set('session.cookie_secure', '1') 或修改了 session_set_cookie_params()，反而可能干扰 phpMyAdmin 的 Cookie 生成流程，导致登录后立即登出。
- 不要在
config.inc.php里手动调用session_start()或session_set_cookie_params() -
php.ini中的session.cookie_httponly和session.cookie_secure对 phpMyAdmin 无效，可保持默认，无需调整 - 唯一可信的控制点就是
$cfg['CookieSecure']和$cfg['CookieHttpOnly']
验证 Cookie 属性是否生效
配置保存后，用浏览器开发者工具检查实际发送的 phpMyAdmin Cookie（注意不是 PHPSESSID），看响应头 Set-Cookie 是否包含 Secure 和 HttpOnly。常见失效原因：
- Web 服务器未正确终止 HTTPS（比如反向代理后端是 HTTP），但 phpMyAdmin 检测不到，仍需强制设
$cfg['CookieSecure'] = true，并确保$_SERVER['HTTPS'] === 'on'或设置了$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' - 配置写错位置，比如放在
blowfish_secret之前，或被注释包裹 - 缓存了旧的登录 Cookie，需彻底清除浏览器中域名下的所有
phpMyAdmin_*Cookie 再试
最易忽略的是：phpMyAdmin 的 Cookie 名称带随机后缀（如 phpMyAdmin_f8a2c1...），它不走 PHP 默认 session 机制，所以所有通用 session 配置都绕过它——必须认准那两个 $cfg 键名，一个都不能少，一个都不能拼错。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
