Docker Secrets保护phpMyAdmin密码的安全配置方法

先把结论说清楚：Docker Secrets 并不适用于独立运行的 phpMyAdmin 容器，它只在 Swarm Service 模式下生效。要把这套机制真正用起来，至少得同时满足四个前提：Swarm 已完成初始化、service 已创建、secret 已提前写入，以及应用本身能够主动读取 secret。要是当前并不是 Swarm 场景，更实际的做法通常是这几类：反向袋里认证、只读容器配合 tmpfs，或者直接采用加密卷方案。

Docker Secrets 并不能直接给 phpMyAdmin 容器使用，除非这个容器是以 Swarm Service 的方式运行。 如果只是独立容器（docker run），那它对 docker secret 是完全不支持的。哪怕硬把 /run/secrets/ 这个路径挂进去，结果通常也只有两种：要么是空目录，要么直接报权限错误。说到底，这不是配置没写对，而是机制本身就卡在这里。

为什么 phpMyAdmin 容器通常用不了 Docker Secret

phpMyAdmin 最新镜像默认以单体 Apache 进程启动，绝大多数部署场景用的是 docker run 或 Compose v2/v3（非 Swarm 模式）。而 docker secret 是 Swarm 原生特性，依赖 Raft 日志和 manager 节点调度，只对 docker service create 生效。

常见误操作包括：

• 在 Compose 文件里写了 secrets: 却没启用 Swarm 模式（docker-compose up 会静默忽略）
• 用 docker run --secret —— 该参数根本不存在，命令直接报错
• 手动 mount -t tmpfs 模拟 /run/secrets —— 容器内 PHP 进程无权读取，且重启即丢

Swarm 模式下让 phpMyAdmin 用上 Secret 的硬性条件

必须同时满足以下四点，缺一不可：

• 集群已初始化为 Swarm（docker swarm init），且当前节点是 manager
• phpMyAdmin 启动方式为 docker service create，不是 docker run
• Secret 已预先创建：echo "my_pma_pass" | docker secret create pma_password -
• 容器内应用主动读取文件：$cfg['Servers'][$i]['password'] = trim(file_get_contents('/run/secrets/pma_password'));（需改 config.inc.php）

注意：最新镜像未内置该读取逻辑，你必须通过 docker service create --config 或自定义 entrypoint 注入修改后的配置，否则 Secret 文件存在也无用。

更现实的替代方案：绕过 Secret 机制，但保持同等安全水平

如果你没在跑 Swarm，或不想改造 phpMyAdmin 启动流程，这三个做法实测更稳：

• 用 Nginx 反代 + HTTP Basic Auth：在流量入口层做认证，phpMyAdmin 容器本身不接触密码
• 通过环境变量传参 + docker run --read-only：配合 --tmpfs /var/www/html:rw,size=1m,exec 保证 session 写入，同时禁止写入其他路径
• 挂载加密 volume（如 gocryptfs 或 encfs）：把 config.inc.php 放进加密目录，启动时解密挂载 —— 密码不落盘、不进镜像、不走网络

最后提醒：无论用哪种方式，$cfg['Servers'][$i]['AllowNoPassword'] = true; 这行必须删掉。它会让所有认证逻辑失效，Secret 或环境变量再安全也白搭。