MongoDB 副本集本身不提供“删除保护”配置项，也没有通过 mongod.conf 禁止删除数据库的原生机制。 你看到的“实例销毁保护”是云厂商（如阿里云、腾讯云）在控制台层添加的安全开关，作用对象是整个云实例，而非副本集内部的数据库或集合。想靠改配置文件阻止 dropDatabase 或 drop 操作，行不通。
为什么 mongod.conf 里没有 delete_protection 这类选项
MongoDB 的配置文件只控制服务行为（如端口、存储引擎、日志路径），不介入权限逻辑。删除操作是否允许，完全由用户角色权限决定，和 mongod.conf 无关。试图在 storage 或 security 块里加自定义字段，mongod 启动会直接报错 Unrecognized field。
真正起效的删除防护：靠角色权限 + read_only 配置
要防止误删数据库，必须组合使用以下两项：
- 创建仅含
read权限的角色，所有应用连接都用该角色，禁用dbAdmin、dbOwner等高危角色 - 在从节点上设置
read_only=1（注意：这是 MongoDB 4.2+ 的setParameter运行时参数，不是配置文件静态项）：db.adminCommand({ setParameter: 1, readOnly: true })，它会让该节点拒绝所有写操作（包括dropDatabase），但主节点不受影响 - 若需全局只读（比如灾备库），可在启动时加参数：
mongod --setParameter readOnly=1，但此时整个实例无法写入，不适用于主节点
云厂商“销毁保护”和本地部署的区别
阿里云/腾讯云控制台里的“实例销毁保护”，本质是给云资源加锁，触发的是 Forbidden.DestoryProtected 错误，和 MongoDB 内部数据安全无关。你在本地自己搭的副本集，没有这个功能。如果真要模拟，只能靠外部手段：
- 用防火墙规则封掉
mongod的端口，只放行特定 IP 的读请求 - 在应用层拦截包含
drop、delete关键字的命令（有绕过风险，不推荐） - 定期备份 +
mongorestore --noIndexRestore快速回滚，比“防删”更实际
最易被忽略的一点：即使设置了 readOnly: true，拥有 root 角色的用户仍可通过 db.adminCommand({ setParameter: 1, readOnly: false }) 动态关闭它。所以权限最小化才是核心，别把 root 账号给业务系统用。
