删除MongoDB用户需先切换到其认证数据库（如admin），再执行db.dropUser()；否则静默失败。删前须查审计日志、配置仓库并临时改密测试，避免误删在用账号；删后还需手动清理残留自定义角色。
直接删就行，但90%的失败不是命令写错，是没切对库。
必须先 use 到用户所属的认证数据库
MongoDB 的用户绑定在「认证数据库」上，不是全局对象。比如用 db.createUser({user: "app_ro", roles: [...]}, {db: "admin"}) 创建的用户，它就属于 admin 库；如果创建时没指定 db 字段，就落在当前 use 的库里。
错误操作：use myapp; db.dropUser("app_ro") —— 如果该用户实际注册在 admin，这条命令静默失败，不报错也不删。
正确做法：
- 先确认归属：运行
db.getSiblingDB("admin").getUsers({filter: {user: "app_ro"}})查它在哪 - 再切换：比如查到在
admin，就use admin - 最后执行：
db.dropUser("app_ro")
删之前务必确认账号真没人用
返回 true 只代表删除成功，不代表这个账号可以删。很多“僵尸账号”其实是被某个冷备服务、旧监控脚本或离线任务悄悄调用的。
建议操作顺序：
- 查最近 30 天审计日志（需开启
auditLog）：过滤authenticate事件，看该用户是否有登录痕迹 - 查应用配置仓库：搜索用户名字符串，确认是否还在某处硬编码
- 临时改密码测试：用
db.updateUser()把密码设成随机值，观察是否有服务报认证失败 - 再删：避免删完才发现定时同步任务崩了
批量清理要防误删，别信脚本一键跑
db.dropUser() 不支持通配符或数组，也不能跨库执行。想批量删，得自己写逻辑，但直接 forEach 遍历删极危险。
安全做法：
- 先生成待删清单：
db.getSiblingDB("admin").getUsers().filter(u => u.user.startsWith("legacy_")).map(u => u.user) - 人工核对输出，确认每个用户名都符合预期
- 再逐条执行：
db.getSiblingDB("admin").dropUser("legacy_api_v1") - 千万别用
db.getUsers().forEach(...)直接删——网络中断或权限闪退会导致中间状态不可追溯
删完还要顺手清角色残留
db.dropUser() 只删用户，不删它绑定的自定义角色。这些角色会留在库里，变成“孤儿角色”，越积越多，干扰 db.getRoles() 输出和权限审计。
检查与清理：
- 查用户绑了哪些角色：
db.getUser("old_batch_job")，看roles字段 - 确认角色是否只被该用户使用：
db.getRoles({rolesInfo: 1, filter: {role: "batch_reader"}})，检查inheritedRoles和users - 如确认废弃，再手动删角色：
db.dropRole("batch_reader")（同样需在角色所在库执行）
真正麻烦的从来不是 db.dropUser() 这一行命令，而是你删掉它之后，没人再记得那个用户名曾出现在三台旧服务器的 crontab 里。
