phpMyAdmin 的 Cookie Secure 和 HttpOnly 必须通过 config.inc.php 中的 $cfg['CookieSecure'] = true 和 $cfg['CookieHttpOnly'] = true 设置，而非 Web 服务器头或 setcookie()；二者需同时正确配置且仅在 HTTPS 下生效，否则会导致登录失败或 Cookie 被浏览器丢弃。
phpMyAdmin 的 config.inc.php 里怎么设 Cookie 的 Secure 和 HttpOnly
必须通过 $cfg['cookiesecure'] 和 $cfg['cookiehttponly'] 两个配置项控制，不是靠 php 的 setcookie() 或 web 服务器头。改错地方就完全无效。
常见错误是去改 Apache/Nginx 的响应头，或在自定义登录脚本里调用 setcookie() —— phpMyAdmin 自己生成会话 Cookie 时根本不走那套逻辑。
-
$cfg['CookieSecure'] = true;：强制所有 Cookie 带Secure标志（仅 HTTPS 传输）；若站点没配好 TLS，登录后会反复跳回登录页 -
$cfg['CookieHttpOnly'] = true;：加HttpOnly，阻止 JS 读取phpMyAdmin相关 Cookie（如pmaAuth-xxx） - 两项都得写在
config.inc.php的$cfg数组赋值之后、且不能被条件覆盖（比如别包在if ($_SERVER['HTTPS'] === 'on')里）
为什么只开 HttpOnly 不够，Secure 必须配合 HTTPS 真实生效
Secure 属性本身不加密流量，只是告诉浏览器“别往 HTTP 连接发这个 Cookie”。如果 phpMyAdmin 跑在 HTTP 上却硬设 $cfg['CookieSecure'] = true，浏览器直接丢弃 Cookie，导致 session_id 不传递，每次请求都被当未登录处理。
典型现象：Set-Cookie: pmaAuth-xxx=...; path=/; HttpOnly; Secure 出现在响应头里，但开发者工具的 Application → Cookies 面板里看不到该 Cookie —— 就是 Secure 在 HTTP 下被静默忽略。
- 确认是否真走 HTTPS：检查浏览器地址栏锁图标，且
$_SERVER['HTTPS'] === 'on'或$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https' - 反向代理（如 Nginx）需透传协议头，否则 phpMyAdmin 无法判断环境，
$cfg['CookieSecure']可能误判 - 内网调试时若用 HTTP +
$cfg['CookieSecure'] = true，必然失败；临时改成false，别删掉配置行
Apache/Nginx 该不该额外加 Header？
不该。phpMyAdmin 自己生成的 Cookie 已含 Secure/HttpOnly，再用 Header set Set-Cookie "HttpOnly;Secure" 会导致重复设置，可能触发浏览器拒绝（尤其旧版 IE）。唯一需要加 Header 的场景是：你用其他方式注入了非 phpMyAdmin 管理的 Cookie（比如单点登录 SSO Token），但那是另一回事。
立即学习“PHP免费学习笔记（深入）”；
- Apache 错误写法：
Header edit Set-Cookie "(.*); ?$" "$1; HttpOnly; Secure"—— 会污染 phpMyAdmin 原生 Cookie，还可能把Path=或Domain=搞乱 - Nginx 同理，
add_header Set-Cookie是新增一条，不是修改已有 Cookie，结果就是两条 Set-Cookie 响应头，浏览器行为不可控 - 真要全局加固，应该统一在 Web 服务器层用
cookies SameSite=Lax; Secure; HttpOnly规则，但 phpMyAdmin 4.9+ 已默认支持 SameSite，不必额外动
验证 Cookie 属性是否生效的最快方法
打开浏览器开发者工具，登录后访问任意 phpMyAdmin 页面（如 /server_sql.php），看 Network → Headers → Response Headers 里的 Set-Cookie 字段，不是看 Application → Cookies 里有没有显示 HttpOnly（那个本来就不显示）。
- 正确响应头应类似：
Set-Cookie: pmaAuth-xxx=abc123; path=/; HttpOnly; Secure; SameSite=Lax - 如果没
Secure，检查config.inc.php是否拼错变量名（常见把CookieSecure写成Cookie_Secure） - 如果没
HttpOnly，确认不是被其他插件或自定义脚本用setcookie()覆盖了（搜索整个 phpMyAdmin 目录有无setcookie调用）
Secure 和 HttpOnly 是防御纵深里的基础一环，但它们拦不住已登录状态下的 XSS 攻击——如果页面存在可执行 JS 的漏洞，攻击者仍能发 API 请求盗数据。所以配置只是起点，不是终点。
