phpMyAdmin 本身不支持原生双因子认证（2FA），其“Two Factor Authentication”页面仅为状态显示器，仅当MySQL用户通过PAM+TOTP认证且phpMyAdmin启用mysql_clear_password插件时才可用；否则报错或灰显。
phpMyAdmin 本身不支持原生双因子认证（2FA），所谓“在 phpMyAdmin 配置 2FA”实际是两层隔离动作：先在 MySQL 层启用 PAM+TOTP 双因素登录，再确保 phpMyAdmin 连接时能透传该认证流程——否则你在 phpMyAdmin 界面点开“Two Factor Authentication”设置项，只会报错或静默失效。
为什么 phpMyAdmin 的 2FA 设置页总是报错或灰掉
phpMyAdmin 自 4.8 起在 Settings → Two Factor Authentication 页面提供 UI，但它**不负责生成密钥、不调用 Google Authenticator、也不校验验证码**。它只是读取当前用户会话是否由支持 2FA 的后端认证方式建立。如果 MySQL 用户是用 IDENTIFIED BY 创建的（即传统密码登录），该页面就不可用；只有当用户是 IDENTIFIED WITH authentication_pam AS 'mysql' 且连接启用了 --default-auth=mysql_clear_password，phpMyAdmin 才能识别这是“已启用多因素”的会话。
- 常见错误现象：
Failed to load two-factor authentication method或页面直接显示 “Not available for this authentication method” - 根本原因：MySQL 用户未走 PAM 认证链，或 phpMyAdmin 连接 MySQL 时没启用明文插件
- phpMyAdmin 的 2FA UI 是个“状态显示器”，不是“配置入口”——你不能在这里开启 2FA，只能在这里查看是否生效
必须先让 MySQL 支持双因子登录（版本 & 插件硬门槛）
MySQL 社区版 8.0.27+ 是唯一可行起点，低于这个版本连 REQUIRE MULTIFACTOR 语法都不认，更别说执行了。
- 检查版本：
SELECT VERSION();，输出必须 ≥8.0.27 - 确认插件加载：
SHOW PLUGINS LIKE 'authentication_policy';和SHOW PLUGINS LIKE 'authentication_pam';，两者状态都得是ACTIVE - 若未加载：
INSTALL PLUGIN authentication_policy SONAME 'authentication_policy.so';，再装authentication_pam（注意部分发行版插件名是auth_pam.so） - 关键限制：MySQL 进程必须以
root启动（否则无法加载pam_google_authenticator.so的特权逻辑）；用户必须映射到系统本地账号（如mysqluser得存在于/etc/passwd）
phpMyAdmin 连接 MySQL 时必须显式启用明文认证插件
即使 MySQL 用户已正确创建为 PAM 认证类型，phpMyAdmin 默认仍尝试用 caching_sha2_password 握手，而 PAM 链要求客户端发送明文密码供系统校验——这一步必须手动打开。
立即学习“PHP免费学习笔记（深入）”；
- 修改 phpMyAdmin 的
config.inc.php，在$cfg['Servers'][$i]['host']配置块里加一行：$cfg['Servers'][$i]['auth_plugin'] = 'mysql_clear_password'; - 同时确保 Web 服务器（Apache/Nginx）运行用户有权限读取该用户的
.google_authenticator文件（路径需与/etc/pam.d/mysql中secret=指定的一致） - 连接测试命令：
mysql -u mfa_user -p --default-auth=mysql_clear_password -h 127.0.0.1，能成功输入密码+6位验证码才算通路跑通 - 如果跳过这步，phpMyAdmin 会卡在登录页，或报
Access denied for user—— 它根本没把密码传给 PAM
别指望 phpMyAdmin 替你管 TOTP 密钥和备用码
所有密钥生成、二维码导出、备用码保存，都得在系统层完成。phpMyAdmin 不接触这些数据，也不会帮你存或同步。
- 为对应系统用户（如
mysqluser）执行：sudo -u mysqluser google-authenticator -t -d -f -r 3 -R 30 -w 3 - 生成的
.google_authenticator文件权限必须是600，属主必须匹配运行 MySQL 的系统用户 - PAM 配置文件
/etc/pam.d/mysql中的secret=路径要精确指向该文件，比如secret=/home/mysqluser/.google_authenticator - phpMyAdmin 登录时，你得自己打开 Authenticator App 输入 6 位码——它不会弹窗扫码，也不会记住上次用的设备
最容易被忽略的是：MySQL 进程权限、PAM service 名与 CREATE USER ... AS 'xxx' 中的字符串必须完全一致，且 phpMyAdmin 的 auth_plugin 设置不能漏。少一个环节，整个链路就断在握手阶段，连错误提示都不会友好。这不是配置开关，是打通三段隔离环境的硬集成。
