mongodb不支持db.createuser()直接设置账号过期时间，临时账号需依赖外部机制实现；可行方案是创建最小权限自定义角色、记录customdata.expiresat字段，并通过定时脚本调用db.dropuser()清理超期用户。
临时账号不能靠 db.createUser() 直接设过期时间
MongoDB 原生不支持在 db.createUser() 里指定账号有效期（比如 “7天后自动失效”）。所谓“临时账号”，本质是靠人工管控或外部机制实现的。硬要靠 MongoDB 内置能力做，只能走角色绑定 + 定期清理的路子，或者用外部认证系统（如 LDAP、Kerberos）配合 TTL 策略——但对小团队或单机部署来说太重。
最可行的方案：用 db.createRole() + db.grantRolesToUser() 配合定时脚本
核心思路是：不给外包人员直接分配内置角色（如 readWrite），而是创建一个最小权限自定义角色，再把该角色授予用户；之后用外部脚本定期检查并删除超时用户。
- 先建角色，限制作用域：
db.createRole({ role: "temp_dev_role", privileges: [{ resource: { db: "myapp", collection: "logs" }, actions: ["find"] }, { resource: { db: "myapp", collection: "reports" }, actions: ["find", "insert"] }], roles: [] }) - 创建用户时记录到期时间（存在自定义字段，非 MongoDB 内置）：
db.createUser({ user: "outsourcing_20240515_john", pwd: "xxx", roles: [{ role: "temp_dev_role", db: "myapp" }], customData: { expiresAt: ISODate("2024-05-22T00:00:00Z") } }) - 写个简单 shell 脚本（配合
mongosh），每天执行一次：mongosh myapp --eval "db.getUsers({ filter: { 'customData.expiresAt': { \$lt: new Date() } } }).users.forEach(u => db.dropUser(u.user))"
注意 customData 字段无法用于权限控制逻辑
MongoDB 不会读取 customData 做登录拦截或自动禁用。它只是个备注字段，只供人查、脚本扫。如果你期望“用户一过期就登不上”，那是做不到的——连接仍能建立，权限照常生效，直到你显式调用 db.dropUser() 或手动 db.revokeRolesFromUser()。
- 别指望靠
\$expr在角色定义里动态判断时间 - 别把
customData.expiresAt当成开关，它不影响任何运行时行为 - 如果外包人员需要访问多个数据库，角色里的
resource必须逐个声明，不能用通配符
替代方案：用 SCRAM-SHA-256 密码 + 外部网关做会话级管控
如果已有 API 网关（如 Kong、Nginx + auth_request），可以把认证逻辑前移到网关层：用户凭临时 token 登录网关，网关校验时效性后，才转发请求到 MongoDB，并复用一个固定高权限代理账号。这样 MongoDB 本身完全无感知，所有生命周期管理都在网关完成。
- 适合已有网关基础设施的团队，开发成本低、权限收口干净
- 缺点是 MongoDB 日志里看不到真实操作人，审计需依赖网关日志
- 务必关闭 MongoDB 的
bindIp直连（设为127.0.0.1），只允许网关所在机器访问
customData 看似像元数据字段，但它不参与任何权限决策，也不触发自动清理——忘了跑定时脚本，账号就永远活着。
