phpMyAdmin暴露在公网是因为宝塔7.0+默认启用反向代理，即使未手动配置也会通过/pma_等路径开放访问；可靠关闭方式为：①安全页面IP限制拒绝/pma_路径；②网站设置中清空伪静态并删除Nginx location规则。为什么 phpMyAdmin 会暴露在公网？宝塔默认安装后，phpmyadmin 会通过 /phpmyadmin 或随机路径（如 /pma_abc123）直接对外提供访问，只要知道地址+默认端口（888），攻击者就能暴力猜解账号。这不是“开了没关”，而是宝塔从 7.0 开始就默认启用反向代理暴露该服务——哪怕你没手动配置过，它也可能正开着。关闭 phpMyAdmin 公网访问的两个可靠方式别去删文件或改权限，那容易导致面板后续更新异常。真正有效的做法只有两种，按优先级推荐：在宝塔面板「安全」页面 → 找到「IP 访问限制」→ 添加规则：拒绝所有 IP 访问 /phpmyadmin 和 /pma_* 路径（注意通配符支持）更彻底：进「网站」→ 找到托管 phpMyAdmin 的那个站点（通常是默认站或面板内置站）→ 「设置」→ 「伪静态」→ 直接清空内容并保存；再进「配置文件」，删掉所有含 location ~ /phpmyadmin 或 location ^~ /pma_ 的 block第二种方式本质是切断 Nginx 的路由入口，比防火墙规则更底层，也避免了因路径混淆（比如大小写、编码绕过）导致的漏放。关闭后还能本地访问吗？能，但得靠 SSH + 端口转发或本地 hosts 绑定。宝塔本身不提供「仅限 127.0.0.1 访问」的开关，所以如果你习惯用浏览器直连，建议保留一个受限路径（比如改成 /db-admin-2024），然后用上面的 IP 限制规则只放行你的办公 IP。改路径操作在「软件商店」→「phpMyAdmin」→「设置」里填自定义前缀，改完要重启 Nginx别用中文或特殊符号做前缀，Nginx 可能 decode 失败，导致 404 或 502改完立刻测试：用手机热点访问新路径，确认返回 403 或 404常见误操作和反弹现象很多人删了 /www/server/phpmyadmin 目录，结果第二天面板自动恢复——因为宝塔把这当成核心组件，升级或重载时会校验并重装。还有人改了 config.inc.php 里的 $cfg['Servers'][$i]['host']，以为能锁死连接源，其实这只是控制 phpMyAdmin 连哪个 MySQL，跟 Web 访问控制完全无关。 VWO 一个A/B测试工具