mongodb 6.0 本身不支持 jwt 身份验证，仅接受 scram-sha-256、x.509、ldap 和 atlas 云版专属的 oidc；jwt 登录实际由 atlas app services 等应用层网关处理，校验后以内部 scram 凭据连接 mongodb。
MongoDB 6.0 本身不直接支持 JWT 身份验证——它不解析、不校验 JWT，也不将其作为连接凭据。你看到的“JWT 登录”，实际发生在应用层（如 Atlas App Services）或中间服务（如自定义函数、Firebase 集成），而非 MongoDB Server 端。
为什么 mongosh 或 Node.js 驱动连不上带 JWT 的 MongoDB？
MongoDB Server（包括 6.0）只接受标准身份验证机制：SCRAM-SHA-256、X.509、LDAP、OIDC（仅 Atlas 云服务支持，非本地 6.0）。JWT 不在其中。
-
mongosh --username "token" --password "eyJhb..."会失败：Server 把 JWT 当作普通密码，用 SCRAM 校验，必然报Authentication failed - Node.js 驱动传入
auth: { username, password }时同理，驱动不会自动解码或转发 JWT 到 auth 流程 - 本地部署的 MongoDB 6.0 完全不识别
jwt作为authMechanism值，尝试设置会触发Invalid authMechanism
真正能用 JWT 的地方：Atlas App Services + 自定义 JWT 提供者
这是当前最主流且文档明确支持的路径。JWT 在这里不是给 MongoDB 用的，而是给 App Services 的认证网关用的——它校验签名、提取 sub/email，再映射为一个 Realm 用户，最后该用户以 SCRAM 凭据（由 App Services 后端管理）连接底层 MongoDB。
- 必须启用
Custom JWT身份验证提供者，并配置公钥（JWKS URI 或 PEM） - Firebase、Auth0、Cognito 等 IDP 发出的 JWT 必须含
sub字段，且签发者（iss）与配置一致 - App Services 不会透传原始 JWT 给 MongoDB；它生成的是内部短期会话凭证
- 客户端 SDK（如
Realm.App）调用logIn(Credentials.jwt(token))，不是直连mongodb://
绕过 App Services 自己实现？风险极高
若坚持在应用代码中“手动集成 JWT 和 MongoDB 6.0”，常见错误做法是：
- 把 JWT 存进用户集合当“密码”字段 →
bcrypt.compare()失败（JWT 不可逆，且含.分隔符） - 用 JWT payload 中的
email查库取用户，再比对passwordHash→ 完全绕过 JWT 意义，且暴露校验逻辑 - 用 JWT 做 session token，但数据库连接仍用固定
admin账号 → 权限失控，无用户级隔离 - 试图用
oidc机制对接自建 OIDC Provider → MongoDB 6.0 不支持，仅 Atlas 云版支持且需严格配置 TLS 和 JWKS
真正可行的自建方案只有两种：一是在应用层完成 JWT 校验后，动态生成对应用户的 SCRAM 凭据（需提前在 MongoDB 创建所有用户）；二是用 custom function auth 在 App Services 中写 JS 函数做校验——但后者仍依赖 App Services 运行时，不是纯 MongoDB 6.0。
OIDC 是 MongoDB 6.0 唯一原生支持的“令牌类”机制
注意：OIDC ≠ JWT。OIDC 流程中 ID Token 是 JWT，但 MongoDB Server 只信任 OIDC Provider 的公钥和 introspection endpoint，不直接处理任意 JWT。6.0 仅在 Atlas 部署中启用 OIDC，且要求 Provider 支持 RFC 7662（Token Introspection）。
- 本地 MongoDB 6.0 社区版/企业版均不支持
OIDC机制（查db.runCommand({getCmdLineOpts: 1})输出无oidc相关字段） - 即使 Atlas 启用 OIDC，你也无法用 Firebase JWT 直连——必须用 Atlas 配置的 OIDC Provider（如 Okta、Azure AD）签发的 Token
- OIDC 配置失败时常见错误：
Failed to fetch JWKS（网络不通）、Invalid issuer（iss不匹配）、Token expired（未同步 NTP）
别在 MongoDB 6.0 上硬塞 JWT。它不是设计用来干这个的。把 JWT 留给应用层或 App Services，让 MongoDB 专注用 SCRAM 或 X.509 做连接认证——这才是稳定、可审计、符合版本兼容性的做法。
