db.updateUser 不支持批量修改用户角色，因其仅能精确覆写单个已知用户名的用户元数据，不接受查询条件、通配符或 multi 选项，且 roles 参数为全量替换而非增量更新。
db.updateUser 不能批量修改用户角色 —— 它只作用于单个已存在的用户，且必须显式指定用户名，不支持查询条件或通配符。
为什么 db.updateUser 不适合“批量”场景
这个命令本质是用户元数据的精确覆写操作，不是基于筛选条件的更新。它要求你提前知道每个用户的完整用户名，并逐个调用。一旦漏掉某个用户，或用户名拼错，就直接失败，没有任何提示机制。
- 参数中
roles是全量替换，不是增量追加（想保留原角色+新增一个？得先db.getUser()查出来再合并） - 没有
multi: true选项，也不接受{name: /admin/}这类匹配模式 - 执行失败时返回
"user not found"或"not authorized"，但不会告诉你哪个用户出问题
真正能批量改角色的替代方案：用 db.runCommand + update
如果你有权限（需要 root 或 userAdminAnyDatabase 角色），可以直接写入 system.users 集合 —— MongoDB 用户信息本质就是该集合里的一条文档。
例如：把所有 sales 数据库下的用户都加上 readWrite 角色：
db.runCommand({
update: "system.users",
updates: [{
q: { "db": "sales" },
u: { $addToSet: { "roles": { "role": "readWrite", "db": "sales" } } },
multi: true
}]
})
-
$addToSet比$set更安全，避免重复添加相同角色 - 注意
system.users的roles字段是对象数组，每个元素必须含role和db键 - 修改后需重新认证才能生效（已有连接不会自动刷新权限）
更稳妥的做法：脚本化逐个 updateUser（推荐用于生产）
当无法直接操作 system.users（比如权限受限或怕误删字段），就老实用脚本遍历、查、改：
db.getUsers({ filter: { "user": { $regex: "^u_" } } }).forEach(function(u) {
var newRoles = u.roles.concat([{ role: "appReader", db: "prod" }]);
db.updateUser(u.user, { roles: newRoles });
})
- 先用
db.getUsers()带filter获取目标用户列表（支持正则、字段匹配） - 对每个用户，读出当前
roles，手动合并新角色，再传给db.updateUser() - 别忘了捕获异常：
try/catch包裹db.updateUser()，否则一个失败会导致整个循环中断
真正麻烦的不是语法，而是角色变更后的权限生效时机和连接复用问题 —— 应用里的长连接不会自动感知用户角色变化，必须重连或显式 db.auth() 才能拿到新权限。
