生产环境必须禁用应用账号的root角色，因其赋予实例级权限，可跨库操作、删系统集合、绕过本地认证限制；应为单库精确授权readWrite等角色并显式指定db字段，禁用listDatabases需结合--setParameter或自定义角色。
为什么 root 角色在生产环境必须禁用
直接给应用账号赋予 root 角色，无异于将整个 MongoDB 实例的钥匙拱手相让。哪怕连接时只指定了一个业务库，用户也能通过一句简单的 use otherdb 切换到其他数据库，并执行任意操作。这里的关键在于，MongoDB 的权限模型是“实例级”的——认证通过后，后续所有的库切换操作都不会触发二次鉴权。
- 一个典型的误操作：
db.createUser({user:"app", pwd:"x", roles:["root"]})。这行命令的后果是，该用户甚至有权删除admin库中的系统集合。 root角色隐含着__system权限，能够绕过enableLocalhostAuthBypass等本地认证限制，在某些极端情况下，甚至可能干扰副本集的仲裁逻辑。- 即便在使用云托管服务（如 Atlas、阿里云 MongoDB）时，虽然平台会限制部分系统命令，但
root角色仍可能具备导出或重置其他租户数据的能力，这完全取决于底层隔离机制的强度。
如何为单个数据库精确授权 readWrite 权限
为单个数据库授权 readWrite 是最常见的需求，却也最容易在细节上出错。核心原则是：MongoDB 要求角色必须显式声明其作用的数据库，连接字符串中的 authSource 或默认数据库名，都不会自动推断权限范围。
- 正确做法：在
admin库中执行db.createUser({user:"app_user", pwd:"p", roles:[{role:"readWrite", db:"myapp"}]})。这里明确将readWrite角色绑定到了myapp库。 - 错误写法：
roles:["readWrite"]。这种写法会把权限绑定到当前执行命令的数据库（通常是admin），而不是你预想的业务库myapp。 - 如果应用需要跨库读取（例如访问独立的日志库
logs），必须显式追加另一个角色：{role:"read", db:"logs"}。MongoDB 没有通配符库权限，也无法继承。 - 还有一点需要注意：
readWrite角色并不包含创建集合的权限。如果应用需要动态建表，必须额外授予目标库的dbAdmin角色。
如何禁止用户执行 listDatabases 和跨库 use
默认情况下，只要用户拥有任意数据库的任意角色，就自动获得了 listDatabases 的权限。这会导致应用可以枚举出实例中的所有数据库名，无意中暴露了系统架构信息。要关闭这个“后门”，需要更精细的控制。
- 先禁用默认行为：对于 MongoDB 4.2 及以上版本，可以在启动时添加参数
--setParameter disableListDatabase=1。这是基础，否则仅靠角色配置可能无法完全屏蔽。 - 自定义角色更可靠：创建一个最小权限的角色，例如：
db.createRole({role:"appMinimal", privileges:[{resource:{db:"myapp", collection:""}, actions:["find","insert","update","remove"]}], roles:[]})。 - 关键点解析：
resource中的collection:""表示作用于该库下的所有集合，而db:"myapp"则严格限定了作用域。设置空的roles:[]是为了避免继承任何内置角色可能带来的隐式权限。 - 验证方法：使用该用户登录后，尝试执行
db.adminCommand({listDatabases:1})，应该返回"not authorized"错误。同时，执行use otherdb后，也无法对非授权库进行任何操作。
连接字符串里 authSource 和实际权限库不一致怎么办
这是一个常见的认知陷阱：很多开发者认为连接串 mongodb://u:p@h:27017/myapp?authSource=admin 意味着“在 admin 库认证，但权限作用在 myapp 库”。实际上，权限检查只认角色定义里写的那个 db 字段，与 authSource 参数无关。
authSource参数的唯一作用，是指定去哪个数据库验证用户凭证，它完全不决定权限的范围。- 如果用户是在
myapp库中创建的（即执行了use myapp; db.createUser(...)），那么其角色默认就绑定在myapp库。此时，连接串中的authSource也必须设为myapp才能认证成功。 - 最佳实践：将所有应用用户统一在
admin库创建，在角色定义中显式指定业务库名（如{role:"readWrite", db:"myapp"}），连接串则固定使用authSource=admin。这样管理和维护都更清晰。 - 诊断工具：执行
db.runCommand({connectionStatus:1}).authInfo.authenticatedUserRoles命令，可以清晰地看到当前会话实际加载的角色及其对应的数据库，是排查权限问题的利器。
最后，还有一个极易被忽略的细节：MongoDB 的 show dbs 命令底层调用的就是 listDatabases。许多驱动程序（例如 PyMongo）的 list_database_names() 方法，或者某些 ORM 框架的初始化脚本、监控系统的健康探针，都可能在不经意间触发这个命令。因此，仅仅在业务代码中避免调用是不够的，必须从服务器启动参数和自定义角色两个层面进行双重封锁，才能确保万无一失。
