MongoDB创建仅支持插入与查询操作的集合权限配置问题

你遇到的问题大概率是当前使用的用户还继承了其他高权限角色（比如默认的readWrite、dbOwner，甚至root），这些角色的权限会覆盖你自定义的master角色限制。下面是一步步的解决方案：

1. 先排查用户的现有角色权限 #

首先确认你用来操作集合的用户拥有哪些角色，执行以下命令：

db.runCommand({ usersInfo: "你的用户名", showPrivileges: true })

如果输出里显示用户除了master之外，还有readWrite、dbOwner这类角色，必须先移除这些高权限角色：

db.revokeRolesFromUser("你的用户名", ["readWrite", "dbOwner"])

2. 确认自定义角色的权限正确性 #

你的角色创建命令本身是没问题的，但可以再验证一遍角色的权限范围：

db.runCommand({ rolesInfo: "master", showPrivileges: true })

确保返回的权限列表里只有find和insert，且资源精准指向db_name.lock集合。

3. 创建专用的受限用户（推荐） #

为了避免权限冲突，最好创建一个全新的用户，只赋予这个自定义角色：

db.createUser({
  user: "lock_operation_user",
  pwd: "你的安全密码",
  roles: [{ role: "master", db: "db_name" }]
})

4. 验证权限是否生效 #

切换到这个专用用户登录，尝试执行不同操作测试：

// 尝试删除文档，应该返回权限错误
db.lock.remove({})
// 尝试更新文档，应该返回权限错误
db.lock.update({}, { $set: { test: 1 } })
// 尝试插入和查询，应该正常执行
db.lock.insert({ name: "test_data" })
db.lock.find({})

如果删除/更新操作返回not authorized on db_name to execute command的错误，说明权限配置已经生效。

额外注意事项 #

• 测试时一定要用这个受限用户登录，不要用管理员账号（比如root），管理员账号不受角色权限限制。
• 如果是分片集群环境，需要确保角色在所有节点同步生效，或者在配置库创建集群级角色。

内容的提问来源于stack exchange，提问作者Kaushik Makwana