如何限制MongoDB用户仅能访问特定集合_利用Collection-Level Access控制-MongoDB-PHP中文网

mongodb集合级权限控制必须启用rbac并自定义角色，resource需同时指定db和collection，角色须在admin库创建，仅内置角色无法限制到单集合。

如何限制mongodb用户仅能访问特定集合_利用collection-level access控制

MongoDB 默认不开启访问控制，用户一旦通过认证，就可能拥有远超预期的读写权限。要真正限制用户只操作特定集合，必须启用基于角色的访问控制（RBAC），并自定义角色，把 resource 明确限定到 db 和 collection 两级——仅靠内置角色（如 read、readWrite）做不到。

创建集合级角色必须用 `createRole()`，不能用内置角色

内置角色（如 read）作用域只能是整个数据库，即使你只给用户授了 read 角色并指定 db: "myapp"，该用户也能读 myapp 下所有集合。真要限制到单个集合，必须手写角色：

use admin
db.createRole({
  role: "inventoryReader",
  privileges: [{
    resource: { db: "myapp", collection: "inventory" },
    actions: ["find"]
  }],
  roles: []
})

resource 字段必须同时包含 db 和 collection，缺一不可；留空 collection 或设为 "" 等同于全库
角色必须在 admin 数据库中创建，否则无法被跨库授予
不要把 createCollection 权限单独授予集合级角色——用户能建集合却没权限读，容易引发误操作或权限混乱

给用户授集合级角色时，`db` 参数指目标数据库，不是认证库

用户可以在任意数据库下创建，但其权限可跨库生效。关键在于 createUser() 中 roles 数组里的 db 字段，它决定该角色作用于哪个数据库的资源：

Web Accessibility (WCAG 2 AA))

将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。

下载

use admin
db.createUser({
  user: "stock_analyst",
  pwd: "xxx",
  roles: [
    { role: "inventoryReader", db: "admin" }, // 注意：这里 db 是角色定义所在库，不是数据所在库
    { role: "ordersReader",    db: "admin" }
  ]
})

上面例子中，inventoryReader 角色本身定义在 admin 库，但它实际管控的是 myapp.inventory 集合——这个绑定关系写死在 createRole() 的 resource 里
用户认证时用的 --authenticationDatabase admin，和权限生效的数据库无关
如果用户需跨多个数据库访问不同集合，就在 roles 数组里叠加多个角色，每个角色的 resource 各自指向对应 db + collection

验证权限是否生效：用 `db.runCommand({connectionStatus: 1})` 查当前会话角色

连接后执行命令，返回的 authInfo.roles 会列出已激活角色及其作用域，但不会展开显示具体 resource 细节。最直接的验证方式是实操测试：

尝试 db.inventory.find() → 应成功
尝试 db.orders.find() → 应报错 not authorized on orders to execute command { find: "orders", ... }
注意：即使用户对 orders 集合有 find 权限，若未显式授予 listCollections，执行 show collections 仍会失败——这是常见盲区