MongoDB写入/更新时如何实现字段级授权？Spring Boot实现方法

能力确认 #

MongoDB 原生支持字段级访问控制，完全不需要应用层做字段拦截，仅靠数据库层配置就能实现你要的「仅管理员可写roles字段、普通用户可更新其余字段」的需求。

数据库层配置步骤 #

核心思路是通过自定义角色绑定字段级操作权限，配合集合校验规则拦截越权写入：

• 先创建普通用户的写角色，限制其对user集合的roles字段无写入权限
  如果你用的是 MongoDB 5.0 及以上版本，直接在角色权限里指定可写字段即可，配置最简单：

// 切换到你的业务库
use your_app_db;
// 创建普通用户写角色
db.createRole({
  role: "common_user_rw",
  privileges: [
    {
      resource: {
        db: "your_app_db",
        collection: "user",
        // 显式声明允许写入的字段，不要把roles加进去
        fields: { id: 1, name: 1, createTime:1 /* 其余非roles的业务字段按需添加 */ }
      },
      actions: ["find", "insert", "update"]
    }
  ],
  roles: []
})

如果是4.x及更早版本，通过集合Schema校验实现拦截：

db.runCommand({
  collMod: "user",
  validator: {
    $expr: {
      $cond: {
        // 判断当前操作用户是否持有管理员角色
        if: {$in: ["dbAdmin", db.runCommand({connectionStatus:1}).authInfo.authenticatedUserRoles.map(r=>r.role)]},
        then: true,
        // 非管理员操作时，提交的文档不能包含roles字段
        else: {$eq: [{$type: "$roles"}, "missing"]}
      }
    }
  },
  validationLevel: "strict",
  validationAction: "error"
})

• 给账号分配对应角色：管理员账号绑定内置dbAdmin+集合全量写权限，普通业务账号绑定上面创建的common_user_rw角色即可。

配置完成后可以直接在Mongo shell里测试：用普通账号连接，执行包含roles字段的更新语句会直接抛出权限错误，管理员账号操作则不受影响。

Spring Boot 对接方式 #

不需要在业务代码里写字段校验逻辑，只要做好数据源的权限隔离即可：

• 在配置文件里维护两套MongoDB连接信息：一套是普通业务账号，用于处理普通用户的所有请求；一套是管理员账号，仅用于后台管理模块修改用户角色的接口

spring:
  data:
    mongodb:
      # 普通业务连接，用普通权限账号
      uri: mongodb://common_user:your_common_pwd@mongo-host:27017/your_app_db
      # 管理员连接，仅后台管理接口使用
      admin-uri: mongodb://db_admin:your_admin_pwd@mongo-host:27017/your_app_db

• 基于Spring Data MongoDB配置动态MongoTemplate，普通业务接口默认注入走普通账号的MongoTemplate，涉及到修改roles字段的管理员接口，手动指定使用管理员连接的MongoTemplate即可。

注意：绝对不能为了省事用管理员账号处理普通用户请求，否则数据库层的字段权限控制会完全失效。

普通用户请求如果尝试越权修改roles字段，MongoDB会直接返回权限错误，应用层统一捕获该异常做友好提示即可。

内容的提问来源于stack exchange，提问作者Java Programmer