phpmyadmin 无禁用外部sql脚本执行的开关，需从mysql层（撤file权限、设secure_file_priv）、web层（清空uploaddir/savedir、禁用高危导出格式）和操作层（低权限账号登录）三端协同控制。
phpMyAdmin 本身没有“禁用外部SQL脚本执行”的开关
你找不到这个选项，不是配置遗漏，而是 phpMyAdmin 的设计逻辑里压根没提供「全局禁止上传/执行 .sql 文件」的功能开关。它的「导入」功能是核心能力之一，无法通过界面勾选或 config.inc.php 的布尔配置项直接关闭。
真正能限制 SQL 脚本执行的三个实操点
想阻止用户（包括你自己）误传或恶意上传 .sql 文件并执行，必须从权限、路径、行为三端同时控制：
-
撤掉 MySQL 用户的 FILE 权限：即使上传成功，
SELECT ... INTO OUTFILE或LOAD DATA INFILE也会失败。执行：REVOKE FILE ON *.* FROM 'pma_user'@'%'; FLUSH PRIVILEGES; -
清空 phpMyAdmin 的
UploadDir和SaveDir：在config.inc.php中设为：$cfg['UploadDir'] = '';和$cfg['SaveDir'] = '';。这样「导入」页的文件选择框仍存在，但上传后会因无目录而报错（Cannot upload file），且无法保存导出结果 -
禁用高危导出格式，间接削弱脚本复用性：移除
'php'、'sql'（若非 DBA 自用）等格式，只保留'csv'、'json'。配置项：$cfg['Export']['format'] = ['csv', 'json'];
为什么不能只靠禁用「导入」按钮或删页面？
前端隐藏按钮或删除 import.php 文件都是无效的——攻击者可直接构造 POST 请求绕过；更关键的是，phpMyAdmin 的 SQL 执行区（sql.php）本身支持粘贴多语句，只要权限够，source /path/to/file.sql 这类命令在某些定制环境里甚至能执行（尽管官方版不支持）。所以真正有效的防线是：
- MySQL 层：
FILE权限回收 +secure_file_priv锁死路径 - Web 层：上传目录不可写 + 无解析权限（
UploadDir指向/tmp或非 Web 根目录） - 操作层：对非 DBA 角色，用低权限账号登录 phpMyAdmin，确保其连
SHOW DATABASES都被拒绝，自然进不了「导入」上下文
最容易被忽略的细节
很多人以为关掉 $cfg['AllowArbitraryServer'] 或删了导航栏就能防住脚本执行，其实完全无关。真正的风险入口是「已登录状态 + 有数据库上下文 + 有 INSERT/CREATE 权限」这三者的组合。哪怕你把 import.php 改名，只要用户能访问 sql.php 并粘贴 500 行建表语句，照样算「执行了外部脚本」。控制重点永远在权限收敛和路径隔离，不在前端藏不藏按钮。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
