MongoDB .NET驱动手动客户端加密的服务端验证失效问题排查

你的问题核心在于bypassAutoEncryption: true的作用、CSFLE schema与服务端验证的关系，以及Azure Cosmos DB for MongoDB的特性限制。

1. 为什么没有触发验证异常？ #

• bypassAutoEncryption: true跳过了客户端schema校验：CSFLE的schemaMap主要是给客户端自动加密流程提供规则，当你设置bypassAutoEncryption: true时，客户端会完全绕过自动加密、解密以及基于schema的校验逻辑，自然不会对不符合规则的文档抛出异常。
• CSFLE的服务端验证≠通用文档schema验证：MongoDB文档中提到的服务端验证，是指服务端会识别加密字段的元数据（比如禁止修改加密字段的类型或结构），而非对整个文档做通用的schema校验。同时Azure Cosmos DB for MongoDB 4.2版本对CSFLE的服务端验证支持有限，无法完全等同原生MongoDB的功能。
• 集合创建时的schema未生效：你通过带AutoEncryptionOptions的客户端创建集合，但因为bypassAutoEncryption: true，服务端并未接收到用于验证的schema规则，集合本身没有配置服务端验证逻辑。

2. 解决方法 #

根据你的手动加密需求，推荐以下两种方案：

方案一：开启客户端自动校验（适配半自动化加密场景） #

如果可以依赖客户端自动加密逻辑，将bypassAutoEncryption设为false，客户端会自动根据schemaMap校验文档，不符合时抛出异常，同时自动完成加密：

var autoEncryptionOptions = new AutoEncryptionOptions(
    keyVaultNamespace: keyVaultNamespace,
    kmsProviders: kmsProviders,
    schemaMap: schemaMap,
    bypassAutoEncryption: false // 关闭绕过逻辑
);
clientSettings.AutoEncryptionOptions = autoEncryptionOptions;
var secureClient = new MongoClient(clientSettings);

方案二：手动配置服务端集合验证（适配完全手动加密场景） #

既然是手动加密，需要单独给集合配置服务端验证规则，在创建集合时指定ValidationOptions：

// 定义服务端验证用的schema（可复用你的CSFLE schema核心规则）
var validationSchema = BsonDocument.Parse(@"
{
  $jsonSchema: {
    bsonType: ""object"",
    required: [""encryptedField""],
    properties: {
      encryptedField: {
        bsonType: ""binData"",
        description: ""必须是加密后的BinData类型""
      }
    }
  }
}");

var createOptions = new CreateCollectionOptions
{
    ValidationAction = ValidationAction.Error, // 不符合规则时直接抛出错误
    ValidationLevel = ValidationLevel.Strict, // 对所有插入/更新的文档做严格验证
    ValidationSchema = validationSchema
};

// 创建集合时传入验证选项
encryptedDatabase.CreateCollection(collectionNamespace.CollectionName, createOptions);

配置后无论客户端是否开启自动加密，服务端都会校验文档是否符合规则，不符合则拒绝操作并抛出异常。

方案三：客户端手动校验文档 #

如果需要完全控制校验逻辑，可以在插入前用MongoDB的schema校验工具手动验证：

var schema = BsonDocument.Parse(/* 你的schema定义 */);
var validator = new BsonSchemaValidator(schema);
try
{
    validator.Validate(sampleDocument);
    secureCollection.InsertOne(sampleDocument);
}
catch (BsonSchemaValidationException ex)
{
    // 处理校验失败逻辑
    Console.WriteLine($"文档不符合schema规则: {ex.Message}");
}

额外注意事项 #

• Azure Cosmos DB for MongoDB 4.2版本对部分MongoDB原生特性支持有限，建议升级到5.0+版本以获得更完整的CSFLE和schema验证支持。
• 手动加密时，需确保加密后的字段类型严格符合schema定义（比如必须为BinData类型），否则即使配置了服务端验证也会触发错误。

内容的提问来源于stack exchange，提问作者PeeGee