MongoDB硬盘文件默认UNIX权限疑问：data目录others可读取

这确实是个值得警惕的安全风险——操作系统层面任何人都能读取数据库文件，相当于直接绕开了MongoDB的内部权限控制，绝对不符合安全规范。咱们一步步来解决这个问题：

先确认当前状态 #

首先，先核实你的数据目录权限和MongoDB运行用户：

• 查看数据目录文件权限：

  ls -l /path/to/your/mongodb/data
  

  替换成你实际的data路径（Ubuntu默认是/var/lib/mongodb）
• 确认MongoDB服务的运行用户：

  ps aux | grep mongod
  

  正常情况下应该是mongodb用户

修复现有文件权限 #

先把已经存在的数据文件和目录权限修正，确保只有MongoDB运行用户能访问：

# 把目录所有权交给mongodb用户和组
sudo chown -R mongodb:mongodb /var/lib/mongodb
# 设置权限为仅所有者可读可写可执行，其他用户无任何权限
sudo chmod -R 700 /var/lib/mongodb

让MongoDB启动时自动用严格权限创建新文件 #

Ubuntu 18.04用systemd管理MongoDB服务，咱们修改服务配置来永久解决这个问题：

1. 编辑MongoDB的systemd服务文件：

   sudo nano /lib/systemd/system/mongod.service
   

2. 在[Service]区块里添加一行：

   UMask=0077
   

   这个配置会让MongoDB创建新文件时自动应用0077的umask，对应文件权限为700，目录权限也是700，彻底禁止其他用户访问。
3. 重新加载systemd配置并重启MongoDB：

   sudo systemctl daemon-reload
   sudo systemctl restart mongod
   

为什么会出现这个问题？ #

默认情况下，Ubuntu的系统umask是0022，这会导致新创建的文件给Others开放读权限。而部分MongoDB安装包没有在启动配置里设置专属的umask，所以数据文件会继承这个宽松的权限。你之前搜到的都是数据库内部用户权限，那是控制连接到MongoDB后的操作权限，和操作系统层面的文件系统权限是两个完全独立的安全层级。

额外提醒 #

修改权限后一定要验证MongoDB能正常启动，如果启动失败，大概率是目录所有权没设置对，重新执行chown命令即可。另外，不要随便修改系统全局的umask，这可能影响其他服务的正常运行，修改MongoDB专属的服务配置是最稳妥的方式。

内容的提问来源于stack exchange，提问作者Bibelo