mongodb中不能修改root角色，应通过db.grantrolestouser和db.revokerolesfromuser动态调整用户权限，命令须在admin库执行，权限变更需重连生效。
直接改 root 角色不现实，得换思路
MongoDB 的 root 角色是内置超级角色，绑定在 admin 数据库，不能被修改或删除。想调整管理员权限范围，不是去动 root，而是用更细粒度的方式重建权限模型：要么新建一个自定义管理员角色，要么给现有用户重新授予权限组合。
db.grantRolesToUser() 和 db.revokeRolesFromUser() 是实际操作主力
这两个命令才是日常调整权限的可靠路径，尤其适合已有用户。注意它们只影响指定数据库上下文里的角色分配，不会覆盖其他库的权限。
-
db.grantRolesToUser("admin", [{role: "readWriteAnyDatabase", db: "admin"}])—— 追加全局读写权，但不删原有角色 -
db.revokeRolesFromUser("admin", [{role: "userAdminAnyDatabase", db: "admin"}])—— 撤销用户管理权限，保留其它 - 必须在
admin库执行，否则报错not authorized on admin to execute command - 如果用户当前没登录
admin，先use admin再操作
想限制管理员只管某几个库？用自定义角色 + 精确 privileges
硬塞 readWriteAnyDatabase 太宽泛，又不敢给 root，这时该上 db.createRole()。
- 创建角色时，
resource: { db: "app_db", collection: "" }表示对整个库生效；{ db: "", collection: "" }才是“所有库” - 动作列表别漏掉必要项：比如要支持 Compass 或 mongosh 的 schema 查看，得加上
"listCollections"和"listIndexes" - 角色必须在
admin库创建，且授予时也得写db: "admin"（角色定义所在库） - 示例：
db.createRole({role: "app_admin", privileges: [{resource: {db: "orders", collection: ""}, actions: ["find", "update", "insert", "delete", "listCollections"]}], roles: []})
权限变更后连接立刻生效，但旧连接会缓存旧权限
改完权限，新连接立即按新规校验；但已建立的 shell 或应用连接仍沿用认证时拿到的权限快照，直到重连。
- mongosh 里执行
db.auth()不刷新权限，必须退出重连 - Node.js 驱动等客户端需重启或重建连接池，否则可能报
not authorized on xxx to execute command - 验证是否生效，别只查
db.getUser()，一定要用目标用户真实执行一条受限操作（如db.test.insertOne({})）
