mongodb权限不足分三层：启动阶段查dbpath存在性、属主（mongodb:mongodb）及yaml语法；连接阶段核验authsource与roles绑定库是否匹配；操作阶段确认角色含目标库对应权限，windows需注意localsystem账户限制，linux需处理selinux上下文。
直接结论：MongoDB权限不足不是单一问题，而是分层的——服务启动阶段、连接认证阶段、操作执行阶段各自有独立的权限校验点，必须按层排查。
mongod 启动失败报 “Failed to find a suitable data directory” 怎么查
这个错误根本不是 MongoDB 自身代码报的，而是启动时连数据目录都进不去，说明文件系统层面权限已卡死。
- 先确认
dbPath路径是否真实存在：grep "dbPath" /etc/mongod.conf查出路径后，立刻ls -ld /var/lib/mongodb（替换成你实际路径），看输出里用户组是不是mongodb:mongodb - 如果目录属主是
root:root或权限是700，服务必然失败；正确做法是：chown -R mongodb:mongodb /var/lib/mongodb+chmod 755 /var/lib/mongodb - YAML 配置里常见坑：
dbPath:冒号后面必须跟一个空格，dbPath: /var/lib/mongodb才合法，dbPath:/var/lib/mongodb会导致failed to parse config且日志不提示具体哪行错 - 用
mongod --config /etc/mongod.conf --dryRun验证配置语法，返回parsed successfully才算过关
连接后执行命令报 “Command failed with error 13 (Unauthorized)” 怎么定位
这是认证通过了但授权没过，和密码对不对无关，只和 authSource 和 roles 绑定的数据库名是否匹配有关。
- 先确认当前用户在哪建的：
mongosh "mongodb://localhost:27017/admin" -u root -p pwd进去后执行use admin; db.getUser("myuser")，看roles字段里的db值是不是你操作的目标库（比如vms_trace_point） - 如果
roles里写的是{"role":"readWrite","db":"admin"}，但你要操作vms_trace_point，那必须补授权：db.grantRolesToUser("myuser", [{role:"readWrite", db:"vms_trace_point"}]) - Spring Boot 等客户端连接串里
authSource参数不能省：mongodb://user:pass@localhost:27017/vms_trace_point?authSource=admin—— 缺了它，MongoDB 默认去vms_trace_point库找用户，肯定找不到 - 用
mongosh连接时也得显式指定：mongosh "mongodb://localhost:27017/vms_trace_point" --authenticationDatabase admin
服务能启动但操作报 “not authorized on testdb to execute command” 怎么验证
这说明用户存在、认证成功，但角色没覆盖当前操作所需的最小权限集，比如只给了 read 却执行了 insert。
- 登录后切换到目标库：
use testdb，再运行db.runCommand({connectionStatus: 1})，返回里的authInfo.db是你当前认证库，authInfo.authenticatedUsers显示当前用户身份 - 检查该用户在认证库（如
admin）中的完整角色：use admin; db.getUser("myuser")，重点看roles是否包含针对testdb的readWrite或更细粒度角色（如dbOwner） - MongoDB 不自动继承权限：即使你在
admin库给了root角色，也不代表对testdb有读写权，必须显式授予 - 临时测试可切到
admin库用管理员账号执行：db.auth("root", "pwd")，再运行db.runCommand({revokeRolesFromUser: "myuser", roles: [{role:"read", db:"testdb"}]})撤销再重授，避免权限叠加干扰判断
最容易被忽略的是：Windows 上服务账户默认用 LocalSystem，它对 NTFS 路径的访问权限可能被组策略限制；Linux 上 SELinux 开启时会静默拦截 /var/lib/mongodb 访问，setenforce 0 能快速验证是否为它导致——但别长期关闭，要用 semanage fcontext 正确标记上下文。
