安全配置必须在mongodb服务启动前人工审核并固化，ci/cd仅可执行已验证的幂等操作；mongod.conf须预置authorization: enabled，admin用户创建需首次启动后通过初始化脚本判断执行，网络与防火墙策略由部署层管控。
CI/CD流程中不能“自动部署MongoDB安全配置”——安全配置必须在MongoDB服务启动前完成，且需人工审核确认，否则极易因权限错配或网络暴露导致数据泄露。自动化只能辅助执行已验证的、幂等的安全操作，不能替代安全决策。
mongod.conf 里 authorization: enabled 必须提前写死
CI/CD构建镜像时若用 mongod 默认配置启动，authorization 默认是关闭的。一旦容器跑起来再改配置，就得重启服务，中断连接，CI流程会失败。
- 所有Docker镜像的
/etc/mongod.conf必须包含security: authorization: enabled，不能靠运行时注入 - 使用
docker build --build-arg动态传参不安全，配置项应固化在版本控制的配置文件中 - 若用 Helm 或 Kubernetes，
configMap中的 YAML 也必须显式启用authorization，不能依赖 initContainer 临时 patch
创建 admin 用户不能放在 CI 构建阶段
db.createUser() 是运行时操作，必须在 MongoDB 实例首次启动后、应用连接前执行，且只能执行一次。CI 流程里直接调用会失败（服务未就绪）或重复报错（用户已存在）。
- 推荐方案：用初始化脚本 +
health check，例如在 Docker Compose 的mongoservice 下挂载/docker-entrypoint-initdb.d/init-user.js - 脚本内必须加判断：
db.getUser("admin") === null，避免重复创建 - 绝对不要在 CI 的
run步骤里用mongo --eval直连本地127.0.0.1:27017—— 此时容器还没启动，或端口未监听
网络绑定和防火墙规则必须由部署层控制
bindIp、firewalld、安全组这些不属于应用代码范畴，CI/CD 流水线无权也不该修改目标服务器的网络策略。
-
net: bindIp: 127.0.0.1可写进mongod.conf，但生产环境通常需绑定内网IP（如10.0.1.5），这个值应来自部署环境变量，而非 CI 构建参数 - 阿里云/腾讯云部署时，安全组规则（只放行应用服务器 IP 访问 27017）必须手动或通过 Terraform 预置，不能靠 CI 脚本调 API 临时开孔
- Docker 网络模式建议用
host或自定义 bridge，避免default bridge下的0.0.0.0:27017暴露风险
真正容易被忽略的是：安全配置生效的前提是「整个链路不可绕过」——哪怕 CI 自动注入了用户、启用了授权，只要部署时用了 docker run -p 27017:27017 且没设防火墙，攻击者仍能直连爆破。配置、网络、凭证三者缺一不可，而其中任何一项漏掉，自动化就等于给漏洞装了个进度条。
