Heroku部署MongoDB字段级加密应用时mongocryptd启动失败求助

问题本质 #

Heroku默认环境没预装mongocryptd工具，驱动自动启动时找不到该二进制文件，才会报is it on your $PATH?，进而导致localhost:27020连接失败。修改mongocryptd_uri本身没法直接解决找不到文件的问题，但结合其他配置能彻底搞定。

具体解决步骤 #

1. 给Heroku环境安装mongocryptd #

用Heroku的apt buildpack来安装包含mongocryptd的MongoDB工具包：

• 先给应用添加apt buildpack：

  heroku buildpacks:add --index 1 heroku-community/apt
  

• 在项目根目录新建Aptfile文件，写入：

  mongodb-org-tools
  

• 重新部署应用，mongocryptd会被安装到/usr/bin（这个路径默认在Heroku的$PATH里），驱动就能自动找到并启动它了。

2. 配置mongocryptd_uri（可选优化） #

如果要用自定义的mongocryptd实例（比如单独的进程或外部服务），可以设置这个参数，但前提是该实例能被Heroku dyno访问到：

• 在Python代码的AutoEncryptionOpts里配置：

  from pymongo import MongoClient
  from pymongo.encryption_options import AutoEncryptionOpts
  
  auto_encryption_opts = AutoEncryptionOpts(
      key_vault_client=key_vault_client,
      key_vault_namespace="encryption.__keyVault",
      kms_providers=kms_providers,
      mongocryptd_uri="mongodb://localhost:27020"  # 替换为你的自定义实例地址
  )
  client = MongoClient(MONGODB_URI, auto_encryption_opts=auto_encryption_opts)
  

  注意：如果用Heroku本地的mongocryptd，第一步的安装是必须的基础。

3. 验证mongocryptd状态 #

部署后通过Heroku shell检查：

heroku run bash
which mongocryptd  # 正常会输出/usr/bin/mongocryptd
mongocryptd --version  # 确认版本和MongoDB服务器兼容

4. 放弃临时绕过方案 #

别长期用bypass_auto_encryption=True，这个选项只是跳过客户端加密逻辑，没法处理新数据的加密。只有mongocryptd正常工作后，才能移除这个参数，恢复完整的字段级加密功能。

注意事项 #

• 确保MongoDB服务器版本和mongocryptd版本匹配，版本不兼容会导致启动失败。
• Heroku dyno重启后，驱动会在需要时自动重新启动mongocryptd，无需手动维护进程。

内容的提问来源于stack exchange，提问作者Ben Smith