能否开发安全连接用户指定数据库的Web应用？MongoDB场景方案咨询

一、自有MongoDB连接方案的安全可行性 #

该方案完全可以安全实现，核心要落地以下几项安全控制规则：

• 权限最小化配置：不要给应用开通数据库root权限，单独为你的应用创建专属数据库用户，仅开放指定库/集合的必要读写权限，禁止删库、修改用户权限等高风险操作，MongoDB原生的RBAC（基于角色的访问控制）能力可以完全满足该要求，基础配置命令可参考：db.createUser({user: "app_specific_user", pwd: "strong_random_pwd", roles: [{role: "readWrite", db: "target_research_db"}]})
• 强制传输加密：要求用户侧MongoDB实例开启TLS加密传输，配置tlsMode: requireTLS，禁止明文传输数据，避免公网传输过程中数据被窃听或篡改
• 访问来源限制：引导用户在数据库的网络配置层，仅开放你的应用固定IP段的访问权限，避免未授权的第三方扫描、爆破数据库
• 凭证隔离存储：用户的数据库连接账号密码仅保存在用户侧配置项中，你方后台不存储任何用户数据库凭证，所有连接操作可通过用户侧代理层发起，或用临时鉴权令牌实现访问，避免凭证泄露风险
• 操作可审计：你方应用所有对用户数据库的读写操作都要生成可追溯的日志，同步给用户侧留存，方便用户校验操作合规性

注意：必须避免用户将MongoDB实例无防护直接暴露在公网，这是绝大多数低配置数据库被攻击的核心原因，推荐搭配VPN、专线或私有网络的方式暴露数据库服务。

二、其他可选落地方案 #

如果认为用户自行部署维护数据库的技术门槛过高，还可以选择以下方案满足数据存储在用户侧的要求：

• 本地加密文件存储：数据全部存储在用户本地的加密文件中，你的应用仅在本地运行时读写本地文件，不需要联网同步数据，适合轻量化研究场景，优势是几乎无使用门槛，普通非技术用户也能快速上手，劣势是多设备同步需要用户自行处理文件备份
• 用户侧代理节点部署：你方提供一个轻量可执行程序，用户将其部署在自己的内网环境中，代理所有数据读写操作，你的应用仅和该代理节点交互，不需要直接连接用户的数据库，代理节点还可以做更细粒度的操作校验、数据脱敏，同时适配MySQL、PostgreSQL等不同类型的用户数据库，兼容性更强
• 端侧加密云存储：你方提供云存储能力，但所有数据在用户侧本地加密后再上传，解密密钥完全由用户自行持有，你方无法拿到密钥也就无法读取原始数据内容，同样满足数据归属用户的要求，优势是用户不需要自行维护数据库，使用门槛低，劣势是需要用户妥善保管密钥，密钥丢失则无法恢复数据
• 嵌入式本地数据库：将SQLite、LevelDB等轻量数据库直接嵌入到你的客户端应用中，数据全部存储在用户本地的应用数据目录下，不需要用户单独部署数据库服务，适合非技术用户使用，优势是无额外部署成本，用户感知不到数据库的存在，劣势是单设备存储上限受本地硬盘限制，多设备同步需要额外开发适配。

内容的提问来源于stack exchange，提问作者Kevin Corcoran