本文介绍一种基于 flask api 与 phpmyadmin signon 认证模式的 token 匿名登录方案，通过 url 传递 token、后端验证并自动注入数据库凭据，避免明文暴露敏感信息，兼顾安全性与集成灵活性。
在现代运维与多系统集成场景中，直接将数据库用户名/密码嵌入前端链接或配置文件存在严重安全隐患。你提出的「Token 驱动的 phpMyAdmin 登录」思路非常合理——它将认证逻辑解耦至独立 API，由 phpMyAdmin 仅负责凭据消费，而非存储或校验。而最终采用 SignOn 认证模式（而非修改 AuthenticationCookie.php）是完全正确的技术选型，既符合官方设计规范，又规避了对核心认证插件的侵入式改造。
✅ 为什么 SignOn 是最优解？
phpMyAdmin 的 SignOn 模式专为「外部身份代理」设计：它允许一个独立脚本（如你的 signon.php）预先生成会话变量 $_SESSION['PMA_single_signon_*']，phpMyAdmin 启动时自动读取并完成无感登录。相比硬改 Cookie 插件，SignOn 具备三大优势：
- 零侵入：无需修改 phpMyAdmin 源码，升级兼容性极佳；
- 职责清晰：API 负责鉴权与凭据分发，phpMyAdmin 专注数据库交互；
- 会话可控：凭据仅存在于内存会话中，不落盘、不透出、生命周期明确。
? 关键实现要点解析
你提供的 signon.php 脚本已具备完整骨架，但需注意以下关键修正与加固建议：
1. JSON 解析修复（必改）
原代码中 $response->database_username 使用了对象访问语法，但 json_decode($response, true) 返回的是关联数组，应改为：
$response = json_decode($response, true);
if (json_last_error() !== JSON_ERROR_NONE || !isset($response['database_username'])) {
$_SESSION['PMA_single_signon_error_message'] = 'Invalid token or API error';
exit(header('Location: signon.php'));
}
$_SESSION['PMA_single_signon_user'] = $response['database_username'];
$_SESSION['PMA_single_signon_password'] = $response['database_password'];
// 注意：原代码中缺少 database_host 字段的映射，需从 API 响应中获取
$_SESSION['PMA_single_signon_host'] = $response['database_host'] ?? 'localhost';
$_SESSION['PMA_single_signon_port'] = $response['database_port'] ?? '3306';2. 安全增强项（强烈推荐）
- Token 时效性：在 Flask API 的 /get_database 接口中，为每个 token 添加 expires_at 字段，并在 signon.php 中校验时间戳，拒绝过期请求；
- HTTPS 强制：若部署于公网，务必启用 session_set_cookie_params(0, '/', '', true, true)（即 $secure_cookie = true），并确保反向代理正确传递 X-Forwarded-Proto；
-
Curl 错误处理：
if ($response === false) { $error = curl_error($curl); error_log("Curl failed: $error"); $_SESSION['PMA_single_signon_error_message'] = 'Authentication service unavailable'; exit(header('Location: signon.php')); }
3. phpMyAdmin 配置（config.inc.php）
确保对应服务器启用 SignO
$cfg['Servers'][$i]['auth_type'] = 'signon'; $cfg['Servers'][$i]['SignonScript'] = 'signon.php'; // 路径相对于 phpMyAdmin 根目录 $cfg['Servers'][$i]['host'] = ''; // 留空，由 signon.php 动态注入
⚠️ 关于你的三个核心疑问
密码是否需加密？
即使 API 本地通信（127.0.0.1），仍建议传输层加密（HTTPS）。若强制 HTTP，则至少对密码做一次哈希（如 hash_hmac('sha256', $password, $token_secret)），但更优解是让 API 直接返回连接句柄（如 MySQLi 实例），而非原始密码——不过 phpMyAdmin SignOn 模式目前仅支持凭据字符串。SignOn 是否合适？
完全合适，且是官方推荐方案。你的选择精准匹配了 phpMyAdmin 的扩展设计哲学。是否安全？
在正确实施下是安全的：Token 本身无状态、有时效、不携带密钥；密码仅在内存会话中短暂存在；API 与 phpMyAdmin 部署在同一受信网络。风险点仅在于 Token 泄露（如浏览器历史、Referer 日志），因此务必配合 HttpOnly + Secure Cookie 及短有效期。
✅ 最终工作流
用户访问 → pma.example.com/signon.php?token=XXX
↓
signon.php 向 http://127.0.0.1:4040/api/v1/get_database 发送 token
↓
Flask API 校验 token 有效性、查库返回 host/username/password
↓
signon.php 写入 $_SESSION['PMA_single_signon_*'] 并重定向至 ../index.php
↓
phpMyAdmin 读取会话变量，自动完成登录，用户直达数据库管理界面此方案已在 phpMyAdmin 5.1.3+ 环境稳定运行。下一步可扩展：集成 JWT、支持多数据库动态路由、添加审计日志记录 token 使用行为。安全不是功能，而是贯穿每行代码的设计思维——而你已迈出最关键的一步。
