如何在MongoDB中给用户追加其他库的权限-MongoDB-PHP中文网

mongodb无增量授予权限机制，db.grantrolestouser()仅对当前认证数据库用户生效，跨库需切换db或在admin库用完整角色对象；db.updateuser()需手动合并原角色与新角色，漏写将导致权限丢失。

如何在mongodb中给用户追加其他库的权限

MongoDB 中不能直接“给用户追加其他库的权限”，必须重新创建用户或更新用户角色——因为用户权限是绑定在 db.createUser() 或 db.updateUser() 时指定的角色列表上的，没有“增量添加”操作。

为什么 `db.grantRolesToUser()` 看起来像追加，但实际有严格前提

这个函数确实能向现有用户添加新角色，但它只对「当前认证数据库」下的用户生效；如果你在 admin 库认证，却想给 myapp 库的用户加 readWrite 角色，db.grantRolesToUser() 会静默失败或报错 not authorized on myapp to execute command。

必须先用 use myapp 切换到目标用户所属的认证数据库（即创建该用户时指定的 db 字段值）
如果用户是在 admin 库创建的（常见于集群管理员），那所有角色操作都得在 admin 下执行，且新角色必须显式带上数据库上下文，比如 { role: "readWrite", db: "otherdb" }
角色名本身不携带库信息，"readWrite" 和 "readWrite@otherdb" 是两种写法：后者是旧版语法，新版驱动已不推荐，应统一用对象形式

`db.updateUser()` 是最稳妥的“追加”方式，但会覆盖旧角色

它不追加，而是全量替换。所谓“追加”，是你自己先查出原角色、再拼上新角色，最后一次性写回去。漏掉原角色 = 权限丢失，这是最高发的误操作。

先运行 db.getUser("alice")，看清楚 roles 数组里已有哪些 { role: "...", db: "..." }
手动把新角色（如 { role: "read", db: "analytics" }）push 进去，确保数组里没有重复或冲突角色
调用 db.updateUser("alice", { roles: [...] })，注意：这里传入的是完整角色数组，不是增量
如果用户是跨库管理型（比如 admin 用户要操作多个业务库），务必确认每个 db 字段拼写准确——大小写敏感，且不能是不存在的库名

权限变更后连接不生效？检查认证数据库和连接字符串

MongoDB 用户权限作用域取决于「认证时声明的数据库」，不是连接字符串里的默认库。很多同学改完权限，仍连不上目标库，就是因为 driver 连接时用了 ?authSource=admin 却没在 URL 里显式指定 authSource，导致客户端默认用连接路径中的库做认证源。

Node.js 连接字符串示例：mongodb://localhost:27017/myapp?authSource=admin —— 这表示：连接 myapp 库，但向 admin 库认证
Python PyMongo 同理，authSource="admin" 必须显式传入 MongoClient 参数
如果用户是在 myapp 库创建的，连接时就不能带 authSource=admin，否则会提示 UserNotFound，因为 MongoDB 去 admin 找这个用户，而它其实在 myapp