MongoDB如何拦截请求并校验资源实例权限？有无适用代理方案？

一、MongoDB原生是否支持该功能？ #

MongoDB原生没有提供针对每一次数据库调用的细粒度流量拦截+资源实例级权限校验的能力：

• 自定义认证（custom authentication）仅作用于用户登录阶段的身份验证，无法覆盖后续CRUD操作的动态权限校验；
• 原生角色权限系统（内置/自定义角色）是数据库、集合级别的粗粒度控制，做不到单个文档级别的权限判断，也无法结合实时用户上下文做动态校验。

二、可用的代理方案 #

以下几种代理方案可以满足你的需求：

1. MongoDB Atlas专属方案（云环境） #

如果使用MongoDB Atlas云服务，可借助Data Federation的自定义访问控制规则，结合用户上下文对进出流量做拦截校验，但该方案仅适用于Atlas环境。

2. 开源代理工具 #

• MongoProxy：轻量级MongoDB协议代理，可拦截所有请求并解析操作类型、目标文档、用户上下文，你可以基于它二次开发，嵌入自定义的资源实例级校验逻辑；
• Envoy自定义过滤器：Envoy支持MongoDB协议解析，可编写自定义过滤器拦截流量，从请求元数据或认证token中提取用户上下文，完成权限校验后再决定是否转发请求。

3. 自主开发轻量代理 #

若现有工具无法匹配需求，可自行开发代理层：

• 监听MongoDB协议端口，接收客户端请求；
• 解析请求的操作类型（find/update/delete等）、目标文档标识或查询条件；
• 结合用户上下文（如连接认证信息、请求附带元数据）调用权限校验服务；
• 校验通过则转发请求至MongoDB实例，获取响应后返回给客户端；校验失败则直接返回错误响应。

注意：开发或使用代理时，需确保性能不会成为瓶颈，同时要兼容MongoDB协议的连接池、事务、特殊命令等细节。

内容的提问来源于stack exchange，提问作者k_o_