Magento2后台登录报账号错误或临时禁用 服务器故障排查

今日起，服务器上所有Magento站点登录后台（BO）时统一返回如下报错：

The account sign-in was incorrect or your account is disabled temporarily. Please wait and try again later.

故障服务器环境为Debian 9.13，安装Plesk面板托管站点，单站点维度的修复操作全部无效。

• SSH执行Magento官方账号解锁命令：

php bin/magento admin:user:unlock ADMINUSERNAME

• 直接修改数据库admin_user表字段，手动重置账号锁定状态：

is_active = 1
failures_num = 0
first_failure = NULL
lock_expires = NULL

• 重置现有管理员密码、创建全新管理员账号，登录时依然触发相同报错。
• 经交叉验证，同服务器下所有独立Magento站点均存在相同问题，排除单站点程序故障，定位为服务器层面异常。

按以下优先级逐一排查，定位问题后对应修复即可：

1. 排查fail2ban全局IP封禁
   Plesk默认启用fail2ban防暴力破解服务，短时间内多次登录失败会触发全局封禁规则，拦截源IP对所有站点的访问请求。
   • 登录Plesk面板，进入「工具与设置」-「IP地址禁止管理」，核对封禁列表，将当前访问后台的公网IP移出封禁列表
   • SSH执行命令查看所有启用的封禁规则：fail2ban-client status，针对每个返回的jail项执行fail2ban-client status <jail名>（常见关联jail为plesk-modsecurity、apache、plesk-panel），确认存在误封IP时执行fail2ban-client set <jail名> unbanip <被封IP>手动解封
   • 临时关停fail2ban测试登录，若恢复正常则调整对应jail的失败阈值、封禁时长，避免误拦截正常请求
2. 排查ModSecurity WAF规则误拦截
   Plesk自带的ModSecurity Web应用防火墙如果启用了严格拦截模式，规则更新后很容易将Magento后台登录的POST请求误判为恶意攻击，全局拦截所有站点的登录提交。
   • 进入Plesk「工具与设置」-「Web应用程序防火墙（ModSecurity）」，先将规则模式切换为「仅记录检测事件，不拦截请求」，清空现有拦截日志后测试后台登录
   • 若登录恢复，查看ModSecurity拦截日志定位触发拦截的具体规则ID，将对应规则加入白名单即可，无需完全关闭WAF防护
3. 排查全局PHP会话目录权限异常
   Debian 9系统下Plesk托管的PHP版本共用全局会话存储目录，若目录权限配置错误，所有站点都无法正常写入登录会话，会直接触发登录校验失败。
   • SSH执行ls -ld /var/lib/php/sessions核对目录权限，正常权限应为drwx-wx---，属主属组为root:www-data，且带粘滞位权限
   • 权限异常时依次执行以下命令修复：

   chown root:www-data /var/lib/php/sessions
   chmod 1730 /var/lib/php/sessions
   systemctl restart plesk-php*-fpm
   

4. 排查安全扩展拦截
   若服务器安装了Imunify360、Plesk Security Advisor等安全加固扩展，这类扩展的Web请求拦截规则也可能全局拦截Magento后台登录路径的请求，可临时关闭扩展的Web拦截功能测试，定位到具体拦截规则后添加路径白名单即可。

内容的提问来源于stack exchange，提问作者Gabbodrummer