phpMyAdmin 5.2 不支持 FIDO2 免密登录，必须由 Nginx/Apache 在请求到达前通过 auth_request 前置验证，并透传 REMOTE_USER；phpMyAdmin 侧需设 auth_type='http'、禁用 user/password 配置，且用户映射须与 FIDO2 服务一致。
phpMyAdmin 5.2 不支持 FIDO2 免密登录。
它没有集成 WebAuthn API，不提供注册/验证凭据的前端界面，后端也无对应认证流程（如 PublicKeyCredential 解析、挑战存储与签名验证逻辑）。所有声称“配置 FIDO2”的操作，本质是混淆了认证层级——FIDO2 必须由反向代理（Nginx/Apache）或身份网关（如 Keycloak、Authelia）在请求到达 phpMyAdmin 前完成，且需透传可信用户标识。
FIDO2 必须前置到 Web 服务器层
phpMyAdmin 是纯 PHP 应用，不处理浏览器级身份断言。FIDO2 登录发生在 HTTP 请求最外层：
- 用户访问
/phpmyadmin/→ 触发 Nginx 的auth_request子请求到 FIDO2 验证服务 - 验证通过后，Nginx 设置
$remote_user并透传给 phpMyAdmin - phpMyAdmin 仅依赖
REMOTE_USER环境变量做后续 HTTP 认证
关键点：
立即学习“PHP免费学习笔记（深入）”；
-
auth_request必须返回200 OK且设置Authorization: Basic ...或直接注入REMOTE_USER - 若用 Python 写验证服务（如
/fido2/auth），需用py_webauthn库校验response.clientDataJSON和response.authenticatorData - Nginx 配置中漏掉
fastcgi_param REMOTE_USER $remote_user;，phpMyAdmin 就收不到用户名，报#2002 Cannot log in to the MySQL server
phpMyAdmin 侧唯一要做的三件事
哪怕你已在 Nginx 层跑通 FIDO2，phpMyAdmin 仍可能拒绝登录，因为默认不信任外部认证结果：
- 确保
$cfg['Servers'][$i]['auth_type'] = 'http'; - 删除或注释掉
$cfg['Servers'][$i]['user']和$cfg['Servers'][$i]['password']—— 它们与 HTTP 认证冲突 - 设置
$cfg['Servers'][$i]['host']为本地 MySQL（如'127.0.0.1'），不是 FIDO2 服务地址
常见错误：
- 启用了
auth_type = 'cookie'却期望 FIDO2 生效 → phpMyAdmin 会忽略REMOTE_USER，坚持弹自己的登录框 -
$cfg['LoginCookieRecall'] = true→ HTTP 认证不走 Cookie 流程，开启会导致重定向循环
为什么不能靠 phpMyAdmin 自身实现？
- 没有
credentialCreationOptions接口生成注册挑战 - 不存储公钥凭证（
credential_id,public_key,sign_count）到数据库或文件 - 无签名验证逻辑：无法调用
crypto_sign_verify_detached()或等效 OpenSSL 操作 - 所有用户管理表（如
pma__userconfig）都不含 FIDO2 字段
真正麻烦的是时间窗口和信任链：FIDO2 验证服务必须与 phpMyAdmin 共享同一套用户映射（例如都查 LDAP 或同一 MySQL 表），否则 Nginx 认出用户 A，phpMyAdmin 却找不到对应 MySQL 账号，直接报 #1045 Cannot log in to the MySQL server。
