MySQL本身不支持原生双因素认证，必须通过PAM插件（如authentication_pam）结合Google Authenticator实现，要求版本≥8.0.27、加载authentication_policy插件、MySQL以root运行、PAM配置正确且时间同步。
phpMyAdmin 5.1 本身不提供「为 MySQL 用户强制 2FA」的能力——它只是个 Web 界面，无法干预或控制 MySQL 底层的认证流程。所谓“在 phpMyAdmin 中启用 2FA”，实际是两件事：一、MySQL 侧完成双因子认证配置（靠 PAM + TOTP）；二、phpMyAdmin 侧适配这种认证方式（主要是支持明文密码传输）。如果 MySQL 没配好，phpMyAdmin 再怎么改配置也无济于事。
MySQL 必须先启用 authentication_pam + REQUIRE MULTIFACTOR
这是整个链条的前提。phpMyAdmin 不参与验证，只负责把用户输入的密码和验证码（如果客户端能传）发给 MySQL。所以第一步永远是确认 MySQL 服务端已真正支持双因子：
- 运行
SELECT VERSION();，确保 ≥8.0.27（低版本连REQUIRE MULTIFACTOR语法都不识别） - 执行
SHOW PLUGINS LIKE 'authentication_policy';，状态必须是ACTIVE；没加载就跑INSTALL PLUGIN authentication_policy SONAME 'authentication_policy.so'; - 执行
INSTALL PLUGIN authentication_pam SONAME 'auth_pam.so';（注意部分发行版插件名是authentication_pam.so） - 创建用户时必须显式声明多因子：
CREATE USER 'alice'@'%' IDENTIFIED WITH authentication_pam AS 'mysql' REQUIRE MULTIFACTOR;（'mysql'要和/etc/pam.d/mysql文件名一致）
phpMyAdmin 连接 MySQL 时必须启用 mysql_clear_password
默认情况下，phpMyAdmin 使用 caching_sha2_password 插件握手，而 PAM 认证要求密码以明文形式传递（TOTP 验证需完整密码+动态码拼接）。否则连接直接失败，报错类似 Plugin 'authentication_pam' is not loaded 或 Access denied。
安装、修复、更新或打包一个基于 Python 和 PyMySQL 实现的 Windows `mysql` 命令。适用于用户希望在 PowerShell/CMD 中输入 `mysql` 时重定向到 Python 实现、需要交互式输入 MySQL 连接信息、需要同步到当前用户本地 bin 目录，或需要将该能力封装成可公开复用的 Codex skill。
- 在 phpMyAdmin 的
config.inc.php中，对应用户的$cfg['Servers'][$i]['auth_type']必须设为'config'或'cookie'，且不能用http（不支持交互式二次输入） - 关键一步：添加
$cfg['Servers'][$i]['extension'] = 'mysqli';和$cfg['Servers'][$i]['ssl'] = true;（推荐） - 必须设置
$cfg['Servers'][$i]['connect_type'] = 'tcp';，并在 MySQL 服务端开启require_secure_transport=ON（若启用了 SSL） - 最重要的是：phpMyAdmin 本身不处理 TOTP 输入框，所以用户得在登录页一次性输入「密码+6位验证码」拼在一起（如密码是
pass123，验证码是456789，就输pass123456789）——这依赖 PAM 配置里pam_google_authenticator.so的forward_pass选项是否开启
PAM 配置文件顺序和 secret 路径极易出错
/etc/pam.d/mysql 看似简单，但两行顺序、路径权限、用户映射错一个，整个链路就断掉：
立即学习“PHP免费学习笔记（深入）”；
- 内容必须严格为（顺序不能反）：
auth [success=ok default=bad] pam_unix.soauth [success=ok default=bad] pam_google_authenticator.so secret=/var/lib/mysql-pam/%u.google_authenticator -
secret=后的路径必须存在，且属主是 MySQL 运行用户（通常是mysql），权限为600 - 生成密钥时必须用对应系统用户执行：
sudo -u mysql google-authenticator -t -d -f -r 3 -R 30 -w 3，不能用 root 直接跑 - MySQL 进程必须以
root启动（否则无法加载pam_google_authenticator.so的特权逻辑），检查ps aux | grep mysqld
phpMyAdmin 无法为不同用户差异化启用 2FA
它没有“按用户开关 2FA”的机制。所有通过 phpMyAdmin 连接的用户，都走同一套 MySQL 认证配置。也就是说：如果你给 alice 设了 REQUIRE MULTIFACTOR，她登录 phpMyAdmin 就必须满足；但 bob 如果还是 IDENTIFIED BY 'xxx'，他就完全绕过 2FA——phpMyAdmin 不会拦，MySQL 也不会拦。
- 想实现“部分用户强制 2FA”，只能靠 MySQL 侧精细建用户：
CREATE USER 'alice'@'%' ... REQUIRE MULTIFACTOR;vsCREATE USER 'bob'@'%' IDENTIFIED BY 'xxx'; - phpMyAdmin 登录页对所有用户显示一样的密码框，不会提示“请输入验证码”——那是 PAM 在后台做的事，用户感知不到，除非输错
- 真正容易被忽略的点：时间同步。
pam_google_authenticator.so默认允许 ±30 秒偏差，但若服务器时间漂移超过这个范围，验证码立刻失效，且错误现象就是“密码正确但登录失败”，排查时容易误判为配置问题
