如何使用Docker Secrets保护phpMyAdmin密码

Docker Secrets 不能用于独立 phpMyAdmin 容器，仅支持 Swarm Service 模式；需满足 Swarm 初始化、service 创建、secret 预置及应用主动读取四条件；非 Swarm 场景推荐反代认证、只读容器+tmpfs 或加密卷方案。

Docker Secrets 不能直接用于 phpMyAdmin 容器，除非它作为 Swarm Service 运行。 独立容器（docker run）完全不支持 docker secret，强行挂载 /run/secrets/ 路径只会得到空目录或权限错误——这不是配置问题，是机制限制。

为什么 phpMyAdmin 容器通常用不了 Docker Secret

phpMyAdmin 最新镜像默认以单体 Apache 进程启动，绝大多数部署场景用的是 docker run 或 Compose v2/v3（非 Swarm 模式）。而 docker secret 是 Swarm 原生特性，依赖 Raft 日志和 manager 节点调度，只对 docker service create 生效。

常见误操作包括：

1. 在 Compose 文件里写了 secrets: 却没启用 Swarm 模式（docker-compose up 会静默忽略）
2. 用 docker run --secret —— 该参数根本不存在，命令直接报错
3. 手动 mount -t tmpfs 模拟 /run/secrets —— 容器内 PHP 进程无权读取，且重启即丢

Swarm 模式下让 phpMyAdmin 用上 Secret 的硬性条件

必须同时满足以下四点，缺一不可：

1. 集群已初始化为 Swarm（docker swarm init），且当前节点是 manager
2. phpMyAdmin 启动方式为 docker service create，不是 docker run
3. Secret 已预先创建：echo "my_pma_pass" | docker secret create pma_password -
4. 容器内应用主动读取文件：$cfg['Servers'][$i]['password'] = trim(file_get_contents('/run/secrets/pma_password'));（需改 config.inc.php）

注意：最新镜像未内置该读取逻辑，你必须通过 docker service create --config 或自定义 entrypoint 注入修改后的配置，否则 Secret 文件存在也无用。

更现实的替代方案：绕过 Secret 机制，但保持同等安全水位

如果你没在跑 Swarm，或不想改造 phpMyAdmin 启动流程，这三个做法实测更稳：

1. 用 Nginx 反代 + HTTP Basic Auth：在流量入口层做认证，phpMyAdmin 容器本身不接触密码
2. 通过环境变量传参 + docker run --read-only：配合 --tmpfs /var/www/html:rw,size=1m,exec 保证 session 写入，同时禁止写入其他路径
3. 挂载加密 volume（如 gocryptfs 或 encfs）：把 config.inc.php 放进加密目录，启动时解密挂载 —— 密码不落盘、不进镜像、不走网络

最后提醒：无论用哪种方式，$cfg['Servers'][$i]['AllowNoPassword'] = true; 这行必须删掉。它会让所有认证逻辑失效，Secret 或环境变量再安全也白搭。