相同认证下mongosh可连MongoDB但Node.js/Golang客户端访问异常

这是MongoDB副本集架构下非常典型的客户端连接配置错误，和账号密码权限没有关系，三个报错的逻辑完全对应：

1. mongosh能正常连接但Node.js/Golang客户端超时：mongosh默认内置了副本集自动探测兼容逻辑，而新版官方MongoDB驱动在未指定副本集相关参数时，会先从你填写的连接地址拉取全量副本集节点列表做服务发现。绝大多数自建/云厂商的副本集初始化时默认填写的是内网IP、内网主机名作为节点地址，客户端拿到这些无法从外网/业务网络访问的内网地址后，会逐一尝试连接直到超时，最终抛出Server selection timed out after 30000 ms错误。
2. 加directConnection=true能建连但读数据报not primary and secondaryOk=false：directConnection=true会强制驱动跳过副本集服务发现流程，仅连接你在连接字符串里填写的单个节点。如果你填写的地址刚好对应副本集从节点，驱动默认的读策略是仅从主节点读取数据，且未开启从节点读权限，就会抛出这个错误。你之前加readPreference=primaryPreferred不生效的原因很简单：这个参数生效的前提是驱动已经完成全集群拓扑识别、能定位到主节点位置，开了directConnection之后驱动完全不知道集群其他节点的存在，就算配置了优先读主节点，也找不到主节点在哪，参数自然无效。

按顺序操作即可，不需要乱加无效参数：

• 先通过mongosh连接实例，执行rs.conf()获取副本集核心配置：
  • 记录返回结果中_id字段的值，这是副本集的正式名称，后续连接必须严格匹配（大小写敏感）
  • 查看members数组下所有节点的host字段，确认这些地址是否能被你的业务客户端正常访问。如果是内网IP/内网主机名，要么修改副本集节点配置将host替换为客户端可达的公网/业务网地址，要么在连接字符串中显式列出所有节点的可达地址，不要依赖服务端返回的节点列表。
• 按标准副本集格式拼接连接字符串，核心必填项不要漏：

  mongodb://<账号>:<密码>@<节点1可达地址>:27017,<节点2可达地址>:27017,<节点3可达地址>:27017/<目标数据库名>?replicaSet=<刚才记录的副本集名称>&authSource=admin
  

  注意不要加directConnection=true，只要连接字符串里列全了所有可达节点、replicaSet参数值正确，驱动会自动完成拓扑探测、定位主节点，默认配置下即可正常完成主节点读写。
• （可选）如果业务需要从从节点分摊读压力，再在上述连接字符串末尾追加readPreference=secondaryPreferred即可，此时驱动已经识别全集群拓扑，参数会正常生效，不会再报secondaryOk相关错误。

如果按上述配置后仍然报错，逐一检查：

• 安全组/防火墙是否放通了业务客户端到所有副本集节点27017端口的访问权限，仅放通单个节点端口会导致服务发现失败
• 在mongosh中执行rs.status()确认集群状态正常，确保有且仅有1个节点的stateStr字段为PRIMARY，其余节点为SECONDARY，如果集群正处于主节点选举、脑裂状态，本身没有可用主节点，客户端必然会报服务选择超时
• 确认使用的驱动版本兼容当前MongoDB实例的大版本，过旧的驱动无法适配新版MongoDB的副本集握手逻辑

内容的提问来源于stack exchange，提问作者Xing Chang