phpMyAdmin本身不保存二次验证状态，所谓“重新验证”实为Web服务器层（Nginx/Apache）或PHP-FPM进程层认证链断裂所致；换服务器后需重复输验证码，是因为auth_request校验服务、密钥文件、Nginx配置指向及PHP-FPM session路径等未在新环境同步且隔离，尤其时间偏差超3秒即导致TOTP校验失败。
phpmyadmin 本身不保存二次验证状态，所谓“重新验证”其实是 web 服务器层（nginx/apache）或 php-fpm 进程层的上下文切换导致的认证链断裂——不是 phpmyadmin 忘了你，而是它根本没机会记住。
为什么换服务器后总要输两次验证码？
因为你用的不是 phpMyAdmin 原生 2FA（它只在 ≥5.2.2 版本中有限支持），而是靠 Nginx 的 auth_request 或 Apache 的 mod_authn_google 在请求入口做校验。一旦后端服务器变更（比如从阿里云 ECS 切到 RDS Proxy，或从一台 Nginx 节点切到另一台），以下几件事就断了：
-
auth_request后端校验服务（如/usr/local/bin/validate-2fa.py）可能没同步部署到新服务器，或路径、权限、Python 环境不一致 - Google Authenticator 密钥文件（如
/etc/apache2/google-secrets/%{ENV:REMOTE_USER}）未复制，或新服务器上%{ENV:REMOTE_USER}解析失败 - Nginx 配置里
auth_request指向的是旧服务器的 HTTP 接口（比如http://10.0.1.5:8080/auth），新环境 DNS 或网络不通 - PHP-FPM 的
pm.max_children和 session 存储路径（session.save_path）未隔离，导致不同服务器实例共用同一组 worker 和 session 文件，校验通过后无法透传用户身份给 phpMyAdmin
PHP-FPM worker 复用会直接破坏 2FA 流程
哪怕 Nginx 层校验成功了，如果新服务器上的 PHP-FPM 没配独立 pool，多个 RDS 实例或不同域名的 phpMyAdmin 请求会被塞进同一个 worker 进程。这时：
- PHP 的
$_SERVER['PHP_AUTH_USER']可能被上一个请求污染，phpMyAdmin 读到错误用户名 - session 文件写入路径若仍是全局
/var/lib/php/sessions，不同服务器间 session ID 冲突，登录态错乱 - MySQL 连接复用后，
mysqli_real_connect()报(HY000/2013) Lost connection，看起来像“刚登完就掉线”，实则是底层 socket 被别的实例劫持
如何让 2FA 在多服务器间稳定生效？
关键不是调 phpMyAdmin 配置，而是确保三件事在每台服务器上完全一致且隔离：
- 校验脚本（如
validate-2fa.py）必须存在、可执行、依赖（pyotp）已安装，且时间同步（ntpd或chrony必须运行） - Nginx 中
auth_request的 location 必须指向本地服务（如http://127.0.0.1:8080/auth），禁止跨机调用 - 每个服务器实例对应独立的
www-rds-a.confpool，其中php_admin_value[session.save_path]指向本地路径（如/var/lib/php/sessions/rds-a），并设pm.max_children = 10
最容易被忽略的是时间偏差——TOTP 动态码有效期仅 30 秒，服务器时间差超过 3 秒，校验必然失败，且不会报具体原因。
立即学习“PHP免费学习笔记（深入）”；
