如何在不添加script-src 'unsafe-inline'到CSP的情况下运行phpMyAdmin？

嗨，我刚好碰到过一模一样的情况！你的CSP规则太严苛了，phpMyAdmin需要一些必要的权限才能加载完整界面——别担心，我们可以针对phpMyAdmin的专属路径单独调整规则，完全不会影响整个网站的安全性。

问题根源 #

你的全局CSP里script-src只允许'self'，但phpMyAdmin依赖内联脚本（'unsafe-inline'）和部分动态代码执行（'unsafe-eval'）来渲染界面、处理交互；同时它的部分资源也需要这些权限才能正常加载，这就是为什么页面只显示Logo的核心原因。

解决方案：针对phpMyAdmin路径单独配置CSP #

我们不需要修改全局的严格CSP规则，只需要给phpMyAdmin的目录添加专属的适配规则即可。默认情况下Debian上phpMyAdmin的目录是/usr/share/phpmyadmin，访问路径通常是/phpmyadmin/，你可以根据自己的实际部署路径调整。

在你的Apache配置文件里（比如/etc/apache2/conf-available/phpmyadmin.conf或者全局的apache2.conf），添加以下配置：

<Directory "/usr/share/phpmyadmin">
    <IfModule mod_headers.c>
        # 适配phpMyAdmin的CSP规则，保留核心安全限制
        Header set Content-Security-Policy "base-uri 'none'; frame-ancestors 'none'; form-action 'self'; default-src 'none'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; connect-src 'self'; img-src 'self' data: blob:; style-src 'self' 'unsafe-inline'; font-src 'self';"
    </IfModule>
</Directory>

配置说明 #

• 我们只在phpMyAdmin的目录下应用这个宽松一点的CSP，全局网站的严格安全规则完全不受影响。
• 'unsafe-inline'：phpMyAdmin的界面有大量官方实现的必要内联脚本和样式，属于可信代码，风险可控。
• 'unsafe-eval'：部分phpMyAdmin功能依赖动态代码执行来处理交互逻辑，这也是官方实现的必要部分。
• 其他核心安全规则（比如frame-ancestors、form-action）和全局保持一致，确保phpMyAdmin的安全边界。

最后一步 #

保存配置后，重启Apache服务让修改生效：

sudo systemctl restart apache2

现在再访问phpMyAdmin，应该就能看到完整的登录界面和全部功能了！

内容的提问来源于stack exchange，提问作者MeowTheRobot