MongoDB用户角色配置异常：授予只读角色却拥有增删改权限

问题根源 #

你遇到的核心问题是MongoDB实例未启用授权认证机制。默认情况下，MongoDB启动时不开启认证，所有连接的客户端都会获得超级用户权限，此时你配置的角色和权限规则不会生效，导致用户能执行所有操作。

解决步骤 #

1. 启用MongoDB授权认证 #

必须启动MongoDB的授权模式，才能让角色权限配置生效：

• 命令行启动方式：

  mongod --auth --dbpath <你的数据存储路径>
  

• 配置文件启动方式（推荐生产环境使用）：
  编辑mongod.conf配置文件，添加或修改以下配置：

  security:
    authorization: enabled
  

  修改后重启MongoDB服务。

2. 验证权限配置 #

启用认证后，重新用gst用户登录测试：

use dev201
db.auth('gst','123456')
// 尝试执行写入操作，应该返回权限不足错误
db.movies.insert({title: "Test Movie"})

此时会返回Unauthorized错误，说明权限规则已生效。

3. 优化角色配置（可选） #

你的roleread角色同时定义了特定集合的find特权和继承read角色，这会让用户拥有整个dev201库的只读权限+movies集合的find权限（其实是冗余的，因为read角色已经包含了所有集合的find权限）。如果只需要用户访问movies集合的find权限，可以简化角色定义：

use dev201
db.createRole(
   {
     role: "roleread",
     privileges: [
       { resource: { db: "dev201", collection: "movies" }, actions: ["find"] },
     ],
     roles: [] // 移除继承的read角色，仅保留指定特权
   }
)
// 重新分配角色给用户
db.grantRolesToUser("gst", [{role: "roleread", db: "dev201"}])

其他排查点 #

• 确认用户gst仅被分配了roleread角色，没有额外的readWrite或其他高权限角色：

  use dev201
  db.getUser("gst")
  

  查看返回结果中的roles字段，确保没有多余角色。
• 确认认证操作是在dev201库执行的，MongoDB的用户是库级别的，跨库认证会导致权限异常。

内容的提问来源于stack exchange，提问作者NOURDDINE BENYAHYA