MongoDB如何实现细粒度的集合级读写分离权限_自定义Role并指定Collection-MongoDB-PHP中文网

MongoDB需用createRole在目标库中定义集合级角色，privileges须精确指定db和collection；授权时必须use对应库再执行grantRolesToUser，并显式声明db字段；单角色可组合多集合不同权限；结构变更操作需单独授权。

mongodb如何实现细粒度的集合级读写分离权限_自定义role并指定collection

如何用 `createRole` 定义只对特定集合有读写权限的自定义角色

MongoDB 默认的内置角色（如 read、readWrite）作用域是整个数据库，无法限制到单个集合。要实现集合级读写分离（比如只允许读 users、只允许写 logs），必须用 createRole 手动定义，并在 privileges 中显式指定 resource 的 db 和 collection 字段。

关键点：角色必须在目标数据库下创建（不是 admin），且 resource 中的 collection 名必须精确匹配，空字符串 "" 表示“所有集合”，不能省略或写错。

例如，在 myapp 库中创建一个仅对 orders 集合有读权限的角色：

use myapp
db.createRole({
  role: "ordersReadOnly",
  privileges: [{
    resource: { db: "myapp", collection: "orders" },
    actions: ["find"]
  }],
  roles: []
})

为什么给用户授予权限时必须指定数据库上下文

执行 db.grantRolesToUser 时，角色名和数据库名是绑定的。即使角色定义在 myapp，如果在 admin 库下运行授权命令，MongoDB 会去 admin 下找该角色——找不到就报错 RoleNotFound。

常见错误现象：no role found for name: "ordersReadOnly" in database "admin"，本质就是授权时用错了 use 数据库。

正确做法：

先 use myapp
再运行 db.grantRolesToUser("app_user", [{ role: "ordersReadOnly", db: "myapp" }])

注意：db 字段在 grantRolesToUser 中必须与角色所在数据库一致，不能简写为 "." 或省略。

mongodb-query

用于调试和故障排查，查询MongoDB数据库。用户需要时可以： (1) 列出所有数据库； (2) 列出数据库中的集合； (3) 执行MongoDB查询或命令。

下载

如何组合多个集合的不同读写权限（读 A 写 B）

一个角色可以包含多条 privilege，每条指向不同集合，各自声明 actions。不需要拆成两个角色，也不需要继承。

例如，让角色同时具备：products 只读、inventory_updates 可写、audit_log 可插入但不可查：

use inventory_db
db.createRole({
  role: "stockOperator",
  privileges: [
    { resource: { db: "inventory_db", collection: "products" }, actions: ["find"] },
    { resource: { db: "inventory_db", collection: "inventory_updates" }, actions: ["insert", "update", "remove"] },
    { resource: { db: "inventory_db", collection: "audit_log" }, actions: ["insert"] }
  ],
  roles: []
})

性能影响很小——权限检查发生在每次操作解析阶段，不涉及集合扫描；但若 privileges 列表过长（>20 条），可能略微增加连接初始化开销。

使用 `collMod` 或 `createIndex` 等命令时权限是否自动包含

不包含。MongoDB 的集合级权限只覆盖 CRUD 和部分管理动作（如 collStats），但像 collMod、convertToCapped、createIndex 这类“集合结构变更”操作，需要额外授予 collMod 或 createIndex 动作，且必须明确写在对应集合的 resource 下。

容易踩的坑：

以为有 update 权限就能建索引——实际会报 not authorized on ... to execute command { createIndexes: ... }
在 resource 中把 collection 写成正则或通配符（如 "user.*"）——MongoDB 不支持，只认字面量名称
给 actions 传了大小写错误的字符串，比如 "Find" 或 "INSERT"——必须全小写