MongoDB日志中'repl-writer-worker'是什么？生产集合被删疑问

日志记录：

[repl-writer-worker-4192] CMD: drop meteor.products

一、是否为Mongo定时任务？ #

• 检查Mongo admin库的system.jobLog集合，查看是否有匹配drop meteor.products的任务记录
• 排查服务器或应用层的定时脚本（crontab、Jenkins、云函数等），确认是否存在触发集合删除的逻辑
• 分析副本集oplog，查看该drop命令的发起上下文，是否关联定时任务进程

二、是否为越权访问？ #

• 检查Mongo认证日志（如/var/log/mongodb/mongodb.log中的auth条目），确认是否有未被ACCESS日志记录的登录行为
• 梳理所有Mongo用户的权限配置，排查是否存在过度授权（如dbAdmin、root权限）或凭证泄露情况
• 查看服务器系统登录日志（如/var/log/auth.log），排查异常SSH登录或远程操作记录

三、是否为注入攻击？ #

• 检查应用代码中Mongo交互逻辑，确认是否存在未过滤的用户输入直接拼接进命令/查询的情况（需使用参数化查询而非字符串拼接）
• 排查应用请求日志，查看删除操作前后是否有带可疑参数的异常API请求
• 分析Mongo oplog，定位drop命令的发起IP，确认是否与可信IP范围不符

额外排查点 #

• 导出完整Mongo日志，过滤所有含drop或meteor.products的条目，提取命令完整上下文
• 检查副本集节点同步日志，确认drop命令是主节点发起还是从节点同步而来
• 若使用托管Mongo服务（如Atlas），查看平台审计日志获取更详细的操作来源信息

内容的提问来源于stack exchange，提问作者Jesus Berrio