MongoDB客户端字段级加密下$match聚合无结果问题排查

我有一个启用了客户端字段级加密（CSFLE）的MongoDB集合，其中uid字段采用AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic算法加密。我在Atlas网页UI中执行以下聚合管道：

[
  {
    $match: {
      "uid": "system_user"
    }
  }
]

但明明集合中存在uid为system_user的记录，却没有返回任何结果。MongoDB文档说明CSFLE支持$match聚合阶段，请问我哪里操作错了？

我的集合CSFLE加密schema如下：

{
    "$jsonSchema": {
        "bsonType": "object",
        "title": "Account",
        "properties": {
            "uid": {
                "encrypt": {
                    "bsonType": "string",
                    "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic",
                    "keyId": [<dek>]
                }
            }
        }
    }
}

• 核心问题：Atlas网页UI是服务端层面的操作工具，它没有加载你的CSFLE加密上下文（包括数据加密密钥DEK、加密schema等），无法将你输入的明文"system_user"加密成数据库中存储的密文格式，因此无法匹配到对应记录。
• 虽然你使用的确定性加密算法支持等值查询，但这类查询要求客户端先将查询值加密，再把加密后的密文发送给服务端进行匹配——Atlas UI不具备这个客户端加密能力，直接用明文查询自然无效。
• 解决方法：
  • 使用MongoDB官方驱动（如Node.js、Python、Java等），在客户端代码中配置好CSFLE加密上下文后执行聚合操作，驱动会自动加密$match中的uid查询值，再发送给服务端。
  • 使用MongoDB Shell（mongosh），先加载CSFLE的配置（包括加密schema、KMS凭据等），再执行聚合管道，Shell会自动处理查询值的加密工作。

内容的提问来源于stack exchange，提问作者Zack