phpMyAdmin 本身不支持原生双因素认证，所有“2FA 教程”均依赖反向代理（如 Nginx + auth_request 或 Apache + mod_authn_google）实现，而非修改其源码或使用 signon 模式强行注入。
phpMyAdmin 本身不支持原生双因素认证
phpmyadmin 没有内置的 totp（如 google authenticator）、短信或 webauthn 等 2fa 实现。所谓“启用 2fa”，实际是绕过 phpmyadmin 自身认证，把登录入口前置到支持 2fa 的反向代理或 web 服务器层。
常见错误现象：ERROR: Two-factor authentication is not available 或界面里根本找不到 2FA 设置项 —— 这不是配置遗漏，是功能压根不存在。
- phpMyAdmin 的
$cfg['Servers'][$i]['auth_type']只支持cookie、http、config、signon，没有totp或类似选项 - 所有“phpMyAdmin 2FA 教程”本质都是在 Apache/Nginx 层加一层带 2FA 的认证网关
- 直接修改 phpMyAdmin 源码强行注入 2FA 极易引入安全漏洞，且升级后丢失
用 Nginx + auth_request 模块对接 Google Authenticator
这是目前最可控、无需改 phpMyAdmin 的方案：让 Nginx 在转发请求前先校验 TOTP 动态码。
使用场景：你已部署 phpMyAdmin 在 /phpmyadmin 路径，Nginx 作为前端；且服务器能运行 Python（用于验证 TOTP）。
- 安装
python3-pip和pyotp：pip3 install pyotp - 写一个轻量校验脚本
/usr/local/bin/validate-2fa.py，接收 HTTP POST 中的token和用户密钥（从文件或 DB 读），调用pyotp.TOTP().verify() - Nginx 配置中对
location /phpmyadmin/添加：auth_request /auth-2fa;，再定义location = /auth-2fa指向该脚本的 FastCGI 或 HTTP 后端 - 注意：必须同时保留 phpMyAdmin 原有的登录（如 cookie 认证），2FA 只做第一道门；否则会绕过 MySQL 权限控制
Apache 下用 mod_authn_google 配合 Basic Auth
比 Nginx 方案更简单，但仅限 Apache 2.4+，且依赖第三方模块编译。
立即学习“PHP免费学习笔记（深入）”；
常见错误现象：启用后 phpMyAdmin 登录页反复弹出基础认证框，或 2FA 通过但 phpMyAdmin 报 #2002 Cannot log in to the MySQL server —— 多因 PHP_AUTH_USER 环境变量未透传给 PHP。
- 编译安装
mod_authn_google，确保启用LoadModule authn_google_module modules/mod_authn_google.so - 在 phpMyAdmin 目录的
.htaccess或虚拟主机配置中添加：AuthType Basic、AuthName "2FA Required"、AuthBasicProvider google、GoogleAuthSecretFile /etc/apache2/google-secrets/%{ENV:REMOTE_USER} - 关键一步：加上
SetEnvIf Authorization "(.*)" HTTP_AUTHORIZATION=$1并确保 PHP-FPM 配置中透传HTTP_AUTHORIZATION环境变量，否则 phpMyAdmin 无法获取用户名 - 每个用户的密钥需单独存为文件（如
/etc/apache2/google-secrets/alice），格式为 base32 编码字符串
为什么不要碰 phpMyAdmin 的 signon 方式配 2FA
signon 认证模式允许用外部脚本返回用户名/密码，有人试图在这里塞入 TOTP 校验逻辑 —— 这是高危操作。
性能与兼容性影响明显：每次请求都触发一次 PHP 脚本 + TOTP 验证，拖慢整个 phpMyAdmin 响应；且一旦脚本出错（如时间不同步、密钥读取失败），用户将完全无法登录，连错误提示都不显示。
-
$cfg['Servers'][$i]['auth_type'] = 'signon'的回调脚本必须在 5 秒内返回有效 JSON，超时即降级为登录页，但此时 2FA 已失效 - phpMyAdmin 不校验回调脚本的来源或签名，攻击者若能写入该脚本路径，可直接绕过所有认证
- MySQL 用户密码明文出现在回调脚本输出中（即使只临时存在），违反最小权限原则
真正需要 2FA 的生产环境，应该让数据库访问走专用客户端（如 DBeaver + SSH 隧道）或 API 网关，而不是长期暴露 phpMyAdmin 界面。界面层加 2FA 是权宜之计，密钥管理、时间同步、失败锁定这些细节，全得自己兜底。
