如何在phpMyAdmin 5.2中配置IP白名单限制访问？-phpMyAdmin-PHP中文网

真正生效的ip白名单必须由web服务器（apache/nginx）强制执行：apache用require ip（2.4+），nginx用allow/deny；phpmyadmin自身配置如allowdeny或php层判断均不可靠，仅作临时调试。

如何在phpmyadmin 5.2中配置ip白名单限制访问？

phpMyAdmin 5.2 本身不支持 IP 白名单，所有“在 config.inc.php 里加规则”的做法都无效或仅作兜底——真正生效的白名单必须由 Web 服务器（Apache/Nginx）强制执行。

Apache 下用 Require ip 实现可靠白名单

这是最常用、最稳定的方案，适用于绝大多数 LAMP 环境（如 Ubuntu/Debian 默认安装）。关键不是改 phpMyAdmin 配置，而是控制谁能把请求发到它所在的目录。

找到 phpMyAdmin 的 Web 根路径，常见位置是 /usr/share/phpmyadmin（APT 安装）或 /var/www/html/phpmyadmin（手动部署）
在该目录下创建或编辑 .htaccess 文件，写入类似内容（替换为你自己的可信 IP）：
```
Require ip 192.168.1.100<br>Require ip 203.0.113.0/24<br>Require ip 2001:db8::/32
```
如果页面没反应或 500 错误，大概率是 Apache 未启用 AllowOverride All；此时需改到虚拟主机配置（如 /etc/apache2/sites-enabled/000-default.conf），在 <directory></directory> 块内粘贴相同 Require ip 行，再执行 sudo systemctl restart apache2
注意：Require ip 仅在 Apache 2.4+ 支持 CIDR 和 IPv6；旧版本需用已弃用的 Allow from + Deny from all 组合，不推荐

Nginx 下用 allow/deny 指令硬限制

Nginx 没有 .htaccess，规则必须写进 server 或 location 块，且顺序严格——allow 必须在 deny all 之前，否则全部拒绝。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

编辑对应 Nginx 配置文件（如 /etc/nginx/conf.d/phpmyadmin.conf）

在 location /phpmyadmin { } 块内插入：

allow 192.168.1.100;<br>allow 203.0.113.0/24;<br>deny all;

IPv6 不支持 CIDR 写法（如 2001:db8::/32），必须逐条写 allow 2001:db8::1;、allow 2001:db8::2;
修改后先验证语法：sudo nginx -t，再重载：sudo systemctl reload nginx
若返回 403 但你确实在白名单中，检查是否走代理——真实 IP 可能被覆盖，需配合 real_ip_header 和 set_real_ip_from 解析

config.inc.php 中的 $cfg['Servers'][$i]['AllowDeny'] 是假白名单

这个配置项看起来像白名单，但它只影响 phpMyAdmin 自己的登录表单提交逻辑，**不阻断 HTTP 请求到达 PHP 进程**。攻击者可绕过登录页直接访问 index.php 或其他入口，甚至构造 POST 请求暴力试探。它既不能防止扫描，也不能防 CSRF 或 SSRF。

示例配置：

$cfg['Servers'][$i]['AllowDeny']['order'] = 'deny,allow';<br>$cfg['Servers'][$i]['AllowDeny']['rules'] = array(<br>    'deny % from all',<br>    'allow % from 192.168.1.100'<br>);

该配置仅在 auth_type 为 cookie 或 http 时参与表单校验，对直接访问静态资源、API 接口、或通过反向代理转发的请求完全无效
它不记录日志、不触发防火墙、不改变 HTTP 状态码，连基本的 403 都不返回——失败时只是刷新页面或跳转回登录页

PHP 层简单过滤仅适合临时调试

可以在 config.inc.php 开头加几行 PHP 判断，但它极易被绕过，**绝不能作为生产环境主防线**。

示例代码：

$allowed_ips = ['127.0.0.1', '192.168.1.100'];<br>$client_ip = $_SERVER['REMOTE_ADDR'] ?? '';<br>if (!in_array($client_ip, $allowed_ips)) {<br>    http_response_code(403);<br>    exit('Access denied');<br>}