不能将密码明文写入mongod.conf，因其易泄露且MongoDB不支持配置文件内变量解析；应使用环境变量处理客户端连接、密钥文件实现服务端认证，并严格分离敏感配置。
为什么不能把密码直接写在 mongod.conf 里
明文密码硬编码进配置文件，等于把数据库钥匙贴在门上——Git 提交、运维共享、容器镜像分发时极易泄露。MongoDB 本身不支持在 mongod.conf 中直接写加密密码字段，security.authorization 开启后，它只认真实凭据，不解析变量或占位符。
用环境变量替代配置文件中的密码（仅限连接场景）
环境变量方案适用于客户端连接（如 Node.js、Python 驱动），**不适用于 mongod 服务端启动时的身份验证配置**（比如 keyFile 或 clusterAuthMode 所需的密钥路径）。常见误用是试图在 mongod.conf 里写 password: ${MONGO_PASS}，这会直接报错：Failed to parse config file: expected string, got null。
正确做法是让驱动层读取环境变量并拼接连接字符串：
mongodb://admin:${MONGO_PASS}@localhost:27017/?authSource=admin
- Node.js 中用
process.env.MONGO_PASS读取，再传给MongoClient - Python 的
pymongo.MongoClient接收完整 URI 字符串，不自动展开环境变量，必须手动os.getenv("MONGO_PASS")拼接 - Shell 脚本中启动
mongoshell 时可用mongo "mongodb://admin:$MONGO_PASS@..."，但注意 shell 变量扩展时机和引号包裹，避免空格或特殊字符截断
用密钥文件实现副本集/分片集群认证（服务端级）
这是 MongoDB 官方推荐的生产级认证方式，用于 mongod 进程间通信（如副本集成员握手、分片路由与配置服务器通信），它不涉及用户密码，而是靠共享密钥文件内容做 HMAC 校验。
关键实操点：
- 密钥文件必须是 **600 权限**（
chmod 600 /etc/mongod-keyfile），否则mongod启动失败并报错：Key file permissions are too open - 文件内容任意，但所有节点必须完全一致（包括换行符），建议用
openssl rand -base64 756 > /etc/mongod-keyfile生成 - 配置中只写路径，不写内容：
security.keyFile: /etc/mongod-keyfile，且该路径需被mongod进程用户（如mongod）可读 -
keyFile启用后，自动强制开启security.authorization: true，但不会影响应用连接时的用户认证逻辑
敏感配置分离：把 mongod.conf 和密钥/凭证彻底拆开
最易被忽略的是配置文件本身的部署方式。即使用了密钥文件，如果 mongod.conf 里还残留 bindIp: 0.0.0.0 或未注释掉的测试用户配置，风险依然存在。
推荐结构：
-
/etc/mongod.conf：只保留网络、存储、日志等非敏感项，删掉所有security下的密码类字段 -
/etc/mongod-keyfile：独立文件，权限 600，仅由mongod用户拥有 - 启动脚本或 systemd unit 文件中，用
--config /etc/mongod.conf --keyFile /etc/mongod-keyfile显式传参，避免配置文件内耦合 - 容器部署时，用
docker run -v /host/keyfile:/etc/mongod-keyfile:ro挂载密钥，而非 COPY 进镜像
密钥文件不是“密码替代品”，它是进程间信任链的根；环境变量不是万能解药，它只解决客户端连接环节。真正安全的配置，是把每个环节的信任边界划清楚——哪部分由操作系统保护（文件权限），哪部分由运行时隔离（环境变量作用域），哪部分由 MongoDB 自身机制兜底（keyFile 校验）。
