如何通过MongoDB Golang Driver创建细粒度权限用户及相关问题咨询

我正在开发一款基于Golang的工具，用于管理MongoDB 7.0.x版本的用户，过程中存在以下疑问：

需为用户分配特定数据库的内置及自定义角色，配置示例如下：

# config.yaml

user: myuser
permissions:
- db: mydb1
  roles:
  - read
  - customRole1
- db: mydb2
  roles:
  - readWrite
  - customRole2

我对MongoDB用户管理的理解是：用户需创建在某一数据库中，角色同样创建在数据库中，再为该库中的用户分配角色。例如以下代码片段中，db字段是让MongoDB从customDb中获取someCustomRole，而非为用户分配访问customDb的该角色：

mongosh CLI示例 #

admin> db.createUser( {user:"myuser", pwd: "pass", roles: []});
{ ok: 1 }

admin> db.grantRolesToUser("myuser", [ "read", {role:"someCustomRole", db: "customDb" } ])
{ ok: 1 }

Golang驱动示例 #

var result bson.D
roleBsonArray := bson.A{"read","readWrite"}
resp := client.Database("helloworld").RunCommand(context.Background(),  bson.D{ {"grantRolesToUser", newuser}, {"roles", roleBsonArray}, }).Decode(&result)
fmt.Println("result: ", result)
fmt.Println("resp", resp )

问题 #

1. 上述理解是否正确？
2. 如何在admin数据库创建用户，再为该用户分配多个特定数据库的指定角色（如上述config.yaml示例）？
   • 文档示例是在目标库创建用户和角色，若用户需访问5个数据库，是否要在每个库都创建该用户？
   • 如何通过Golang实现该需求？

问题1解答 #

你的理解不完全正确，核心纠正两点：

1. 用户确实创建在某个数据库（称为「用户数据库」），但这个库只是用户的存储位置，不直接限制权限范围。通常推荐在admin库创建用户，这类用户可拥有跨库管理权限。
2. 角色的db字段含义分两种场景：
   • 内置角色（如read/readWrite）：指定db就是给用户分配该目标库的对应权限，比如{role: "read", db: "mydb1"}表示用户拥有mydb1的只读权限；不指定则默认是当前执行命令的数据库。
   • 自定义角色：db字段指定该角色所在的数据库（自定义角色必须归属某个库），分配该角色后，用户自动获得该角色定义的对应库权限——本质还是赋予了用户访问目标库的权限，而非单纯获取角色。

你提供的CLI示例中，{role:"someCustomRole", db: "customDb"}的作用是：从customDb库获取该自定义角色，并将角色包含的customDb相关权限赋予myuser。

问题2解答 #

子问题1：是否需要在每个库创建用户？ #

不需要。MongoDB用户是全局唯一的（用户名+用户数据库的组合唯一），只需在admin库创建一次用户，即可为其分配任意多个数据库的角色，无需在目标库重复创建。

子问题2：Golang实现步骤 #

核心逻辑：连接MongoDB后切换到admin库，一次性创建带全量角色的用户；若用户已存在，则追加角色。

1. 定义配置结构体

type Permission struct {
    Db    string   `yaml:"db"`
    Roles []string `yaml:"roles"`
}

type UserConfig struct {
    User        string       `yaml:"user"`
    Password    string       // 建议从环境变量或安全存储读取
    Permissions []Permission `yaml:"permissions"`
}

2. 加载配置文件

import (
    "gopkg.in/yaml.v3"
    "os"
)

func loadConfig(path string) (UserConfig, error) {
    var cfg UserConfig
    data, err := os.ReadFile(path)
    if err != nil {
        return cfg, err
    }
    err = yaml.Unmarshal(data, &cfg)
    return cfg, err
}

3. 创建用户并分配角色

import (
    "context"
    "go.mongodb.org/mongo-driver/bson"
    "go.mongodb.org/mongo-driver/mongo"
    "go.mongodb.org/mongo-driver/mongo/options"
)

func createUserWithRoles(client *mongo.Client, cfg UserConfig) error {
    ctx := context.Background()
    adminDb := client.Database("admin")

    // 构造角色数组：统一用{role: 角色名, db: 数据库名}格式
    var roles bson.A
    for _, perm := range cfg.Permissions {
        for _, role := range perm.Roles {
            roles = append(roles, bson.M{
                "role": role,
                "db":   perm.Db,
            })
        }
    }

    // 创建用户（直接指定所有角色）
    createUserCmd := bson.D{
        {"createUser", cfg.User},
        {"pwd", cfg.Password},
        {"roles", roles},
        {"mechanisms", bson.A{"SCRAM-SHA-256"}}, // MongoDB 7.0推荐认证机制
    }

    var result bson.M
    err := adminDb.RunCommand(ctx, createUserCmd).Decode(&result)
    if err != nil {
        // 用户已存在时，追加角色
        if mongo.IsDuplicateKeyError(err) {
            return grantRolesToExistingUser(adminDb, ctx, cfg.User, roles)
        }
        return err
    }
    return nil
}

// 给已存在的用户追加角色
func grantRolesToExistingUser(db *mongo.Database, ctx context.Context, username string, roles bson.A) error {
    grantCmd := bson.D{
        {"grantRolesToUser", username},
        {"roles", roles},
    }
    var result bson.M
    return db.RunCommand(ctx, grantCmd).Decode(&result)
}

关键说明

• 所有操作在admin库执行，确保用户拥有全局权限管理能力。
• 内置角色和自定义角色统一用{"role": "角色名", "db": "数据库名"}格式，MongoDB会自动识别角色类型并从对应库获取。
• 捕获重复键错误，兼容用户已存在的场景，避免重复创建。

内容的提问来源于stack exchange，提问作者Bharath Ram