同事换了手机，重新安装 Google Authenticator 后，Magento 2 后台账号和密码都能通过，但六位验证码怎么输都提示无效。这个问题最容易被误判成后台密码错误，实际上密码校验和 2FA 是两步，第一步通过并不代表新手机已经继承旧手机上的密钥。

先确认不是30秒时间窗的问题

TOTP 验证码依赖服务器与手机时间。如果只有一台手机失败，先让手机开启自动日期和自动时区；如果所有管理员突然一起失败，就检查服务器时间，而不是逐个重置账号。

date -u
timedatectl status
chronyc tracking

我会同时看应用节点的时间。多节点环境里，某一台机器慢一分钟，就可能表现为验证码偶发成功、偶发失败。NTP 修好后再试一次，避免把一个基础设施问题改成账号问题。

换手机并不会自动迁移Magento里的密钥

旧手机没有导出验证器账号，新手机扫描的如果不是当前后台用户对应的二维码，生成的数字当然永远不匹配。还能用另一位超级管理员登录时，直接到用户管理中找到该账号，在 2FA 页面执行 Reset。下次登录会重新出现配置流程。

后台没人能登录时，可以从 Magento 根目录只重置这个用户，不要为了省事关闭整个 2FA 模块：

bin/magento security:tfa:reset admin_username google

具体 provider 名称先根据当前版本和已启用模块确认。重置成功后，用无痕窗口重新登录并扫描新二维码。原窗口可能还保存着旧的登录状态和 2FA Cookie，继续在原页面刷新会制造“命令没生效”的假象。

仍然无效时看账号和请求落在哪台机器

检查执行命令的数据库是否就是线上后台使用的数据库，也要确认负载均衡后所有节点读取同一份加密配置。若迁移环境时更换了加密 key，旧的加密数据可能无法正确读取，这时日志里通常不只出现验证码错误，还会伴随解密异常。

最终验证不要只看能否进首页。我会退出后台、清掉该域名 Cookie，再完成一次完整登录，随后确认用户的 2FA 记录已经重新生成。这样可以排除当前 Session 恰好还有效的情况。核心思路是：先校准时间，再重置单个用户，最后才考虑模块和加密配置，别上来就禁用 2FA。