Nginx环境下通过IP白名单、修改别名实现phpMyAdmin安全加固咨询

你之前的加固方案全部基于Apache运行环境，而你当前的服务完全由Nginx+PHP-FPM驱动，phpMyAdmin能正常访问和Apache没有任何关系：你将/usr/share/phpmyadmin软链接到了Nginx站点根目录/var/www/site下，Nginx收到/phpmyadmin路径的请求后直接读取对应目录文件，PHP请求通过你配置的unix:/var/run/php/php7.4-fpm.sock套接字交给PHP-FPM处理，全程没有Apache参与，因此.htaccess规则、Apache侧的路径修改配置全部不会生效。

IP白名单配置 #

在你的Nginx站点配置的server块中，新增专门匹配phpMyAdmin路径的location规则，添加访问控制：

location /phpmyadmin {
    allow 12.34.56.78; # 替换为你的实际访问IP，多个IP可写多行allow规则
    deny all;
    # 适配PHP解析
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_pass wp-php-handler-four;
    }
}

配置修改完成后执行nginx -t验证配置语法无误，再执行systemctl reload nginx重载配置即可生效，非白名单IP访问会直接返回403错误。

隐藏默认phpMyAdmin访问路径 #

两种方案二选一即可：

• 方案一（最简单）：直接修改软链接名称，执行命令mv /var/www/site/phpmyadmin /var/www/site/自定义随机字符串，比如改成db-admin-x9f2，后续只能通过你的域名/自定义随机字符串访问phpMyAdmin，原有/phpmyadmin路径会直接返回404。
• 方案二（无需修改软链接）：在Nginx配置中新增内部路径映射，示例如下：

# 自定义访问路径，可自行修改为随机字符串
location /my-pma-secret-path {
    alias /usr/share/phpmyadmin/;
    allow 12.34.56.78;
    deny all;
    location ~ \.php$ {
        include snippets/fastcgi-php.conf;
        fastcgi_param SCRIPT_FILENAME $request_filename;
        fastcgi_pass wp-php-handler-four;
    }
}

配置添加完成后删除原有软链接rm /var/www/site/phpmyadmin，再重载Nginx即可，后续只有你配置的自定义路径可以访问phpMyAdmin。

额外加固建议 #

• 新增HTTP基础认证作为二层访问校验：在phpMyAdmin的location块中新增如下配置：

auth_basic "Restricted Access";
auth_basic_user_file /etc/nginx/pma_auth;

执行apt install apache2-utils && htpasswd -c /etc/nginx/pma_auth 自定义用户名创建认证账号密码，重载Nginx后访问phpMyAdmin需要先输入账号密码才能进入登录页。

• 所有站点强制走HTTPS访问，避免账号密码明文传输被窃听。
• 定期更新phpMyAdmin、MariaDB、PHP、Nginx的版本，及时修复安全漏洞。
• 为phpMyAdmin单独配置权限更低的PHP-FPM运行用户，和WordPress站点的运行用户隔离，避免站点被入侵后跨目录读取敏感配置。

内容的提问来源于stack exchange，提问作者user8758206