Docker环境下NestJS通过Mongoose连接mongocryptd失败求助

你遇到的核心问题是mongocryptd默认只绑定127.0.0.1（本地回环地址），导致同Docker网络内的API容器无法访问它——即使你映射了端口，容器间通信依赖内部网络，而mongocryptd没监听容器的外部网卡，所以连接被拒绝。

直接解决方案 #

修改docker-compose.yml中mongocryptd服务的entrypoint，添加--bind_ip_all参数让它监听所有网卡：

mongocryptd:
    build:
      context: .
      dockerfile: docker/MongoEP-Dockerfile
    labels:
      env: dev
    args:
      MONGO_PACKAGE: mongodb-enterprise
      MONGO_REPO: repo.mongodb.com
    image: mongo-enterprise:4.2.5
    # 添加--bind_ip_all参数，让服务监听所有网卡
    entrypoint: ["mongocryptd", "--bind_ip_all"]
    restart: always
    ports:
      - "27020:27020"
    volumes: ["/private/var/services/mongodb:/data/db"]

保持你的NestJS连接配置不变即可：

MongooseModule.forRoot(`mongodb://usr:pwd@mongodb:27017`, {
  useNewUrlParser: true,
  useUnifiedTopology: true,
  useFindAndModify: false,
  retryAttempts: 2,
  autoEncryption: {
    keyVaultNamespace,
    kmsProviders,
    extraOptions: {
      mongocryptdURI: `mongodb://mongocryptd:27020`,
      mongocryptdBypassSpawn: true
    }
  } as any
})

为什么之前的尝试没用？ #

• 你修改的是mongod的配置，但问题出在mongocryptd的启动参数上：MongoDB官方镜像的mongod默认会加--bind_ip_all，但mongocryptd没有这个默认配置，它默认只监听localhost。
• 切换到host网络能工作，是因为此时API容器和mongocryptd共用宿主机网络，localhost可以互相访问，但这并非Docker容器化的最佳实践。

额外验证步骤 #

1. 重启服务后，查看mongocryptd的日志，确认它已监听所有网卡：

docker logs <你的mongocryptd容器名>

你应该能看到类似Listening on 0.0.0.0:27020的日志。

2. 在API容器内测试连通性，确认网络正常：

docker exec -it <你的API容器名> curl mongocryptd:27020

如果返回{"ok":1}类的响应，说明连通性没问题。

内容的提问来源于stack exchange，提问作者Asaf Kfir