不能。db.grantRolesToUser仅立即添加角色，无时间控制能力，权限长期有效直至手动回收；它不检查customData或authenticationRestrictions中的时间字段，也无法实现自动过期。
db.grantRolesToUser 能不能实现“临时”权限提升？
不能。它只是立即添加角色，不带任何时间控制能力——加上的权限会一直存在，直到你手动调用 db.revokeRolesFromUser() 移除。MongoDB 内核根本不检查时间字段，authenticationRestrictions 里也不存在 validFrom 或 validUntil 这类键名，硬写进去会被完全忽略。
为什么 db.grantRolesToUser 后权限没生效？
常见原因有三个：
- 用户认证数据库选错：执行
db.grantRolesToUser()前必须use到该用户的 认证数据库（通常是admin，除非创建用户时指定了其他--authenticationDatabase） - 角色作用域不匹配：比如给用户授予了
{role:"readWrite", db:"orders"}，但连接时用了--authenticationDatabase=test，而用户实际是在admin库创建的，就会认证失败 - 客户端未重新认证：权限变更后，已建立的连接不会自动刷新权限，必须断开重连，或在当前 shell 中显式执行
db.auth()
如何安全模拟“临时授权”流程？
真要控制时效，只能靠外部调度+人工兜底。推荐组合方式：
- 提前创建好待授权用户（密码设强、禁用默认角色），只赋予最小必要角色（如
"read"） - 用系统
cron或运维平台定时执行两条命令：
— 授权：mongo admin -u admin -p 'xxx' --eval "db.grantRolesToUser('tempUser', [{role:'readWrite', db:'logs'}])"
— 回收：同上，但换成db.revokeRolesFromUser('tempUser', [...]) - 务必加人工检查环节：每次调度前确认目标用户状态，调度后验证
db.getUser('tempUser')输出是否符合预期
容易被忽略的权限回收陷阱
权限不是“覆盖写”，而是“叠加存”。多次 grantRolesToUser 会累积角色，但 revokeRolesFromUser 必须传入完全一致的角色对象才能精准移除。例如：
db.grantRolesToUser("alice", [{role:"readWrite", db:"logs"}])
db.grantRolesToUser("alice", [{role:"dbAdmin", db:"logs"}])
这时若只执行 db.revokeRolesFromUser("alice", [{role:"readWrite", db:"logs"}])，dbAdmin 角色仍保留。漏掉任一角色定义，就等于没清理干净。
