MongoDB权限异常：只读用户拥有读写删权限求助排查

1. 确认用户角色配置是否准确 #

执行以下命令检查用户的实际权限：

// 切换到用户所在的认证库（通常是admin）
use admin
db.getUser("TestReadUser")

重点查看roles字段，确认是否仅包含{ role: "read", db: "TESTDB" }，没有额外的readWrite、dbOwner或其他高权限角色，也没有继承自其他角色的意外权限。

2. 排查transitionToAuth过渡模式的影响 #

transitionToAuth是授权过渡模式，允许未授权连接与授权连接共存。如果你的客户端连接时未明确传入TestReadUser的用户名密码，会以匿名身份访问，而MongoDB默认对本地连接的匿名用户开放超级权限（尤其是在过渡模式下）。

• 解决：连接时必须指定TestReadUser的认证信息；正式环境建议直接设置authorization: enabled，移除transitionToAuth配置，重启mongod服务。

3. 检查keyFile的有效性 #

如果是副本集或分片集群，keyFile内容不一致会导致权限验证失效，集群自动退化为未授权模式：

• 确保所有节点的keyFile内容完全相同；
• keyFile的文件权限必须设置为600（仅所有者可读可写），否则MongoDB会拒绝加载。

4. 验证数据库名称的大小写一致性 #

MongoDB在Linux/macOS环境下数据库名称区分大小写，Windows环境不区分。如果创建用户时授权的是TESTDB，但实际操作的是小写的testdb，该用户的权限不会覆盖这个库，此时若testdb未配置权限，匿名用户可能获得操作权限。

• 确认操作的数据库名称与授权的数据库名称大小写完全匹配。

5. 排查是否有其他高权限用户的误操作 #

检查是否存在root或其他超级权限用户执行了写操作，被误判为TestReadUser的行为。可以开启MongoDB的审计日志（配置auditLog.path指定日志路径），追踪操作对应的用户信息。

内容的提问来源于stack exchange，提问作者shepi