必须手动拼接连接字符串而非依赖驱动自动解析环境变量，因pymongo、node.js等主流驱动均不支持${var}语法；生产环境应优先使用600权限密钥文件实现服务端认证，并启用compass的protectconnectionstrings选项隐藏界面凭证。
直接把密码写进连接字符串是高危操作，所有主流驱动都不自动解析环境变量，必须手动拼接或改用更安全的机制。
连接字符串里不能直接用 ${VAR} 或 $VAR
很多人以为像 shell 脚本一样写 mongodb://user:${MONGO_PASS}@host 就能生效，但绝大多数 MongoDB 驱动（包括 PyMongo、Node.js 的 MongoClient、Rust 的 mongodb::Client）根本不做变量展开 —— 它们只把整个字符串当 URI 解析，${MONGO_PASS} 会被当成字面量用户名或密码发送，导致认证失败。
- PyMongo：必须用
os.getenv("MONGO_PASS")拼出完整 URI，再传给MongoClient - Node.js：用
process.env.MONGO_PASS拼接，不能依赖 URL 构造函数自动读取 - Java/Kotlin：
MongoClientSettings.builder()不接受带变量的字符串，得先解析再构建 - Shell 命令如
mongosh虽支持$MONGO_PASS，但需注意引号类型："mongodb://u:$MONGO_PASS@h"会扩展，'mongodb://u:$MONGO_PASS@h'不会；且空格、特殊字符（如@、/）会导致截断或解析错误
生产环境优先用密钥文件而非密码认证
密码只是用户层认证，而副本集成员间通信、分片集群路由与 config server 之间的握手，官方明确推荐使用密钥文件（keyFile），这是服务端级共享密钥机制，不涉及明文密码传输，也不依赖环境变量管理。
- 密钥文件内容是任意 6–1024 字节的随机二进制数据，权限必须设为
600（仅 owner 可读写） - 在
mongod.conf中配置：security.keyFile: /etc/mongod/keyfile，并启用authorization: enabled - 所有成员（包括仲裁节点）必须使用同一份密钥文件，否则初始化副本集会失败
- 它替代的是内部通信认证，不影响应用连接时的用户密码，但大幅降低凭证泄露面
Compass 连接字符串防泄漏要开 protectConnectionStrings
MongoDB Compass 默认明文显示连接字符串里的用户名和密码，即使你只读权限用户也能复制看到。这不是 UI bug，而是默认行为 —— 必须主动开启保护开关。
- 设置方式有三种：Compass 设置面板中打开
Protect Connection String Secrets开关；命令行启动加--protectConnectionStrings；或在配置文件（EJSON/YAML）里设protectConnectionStrings: true - 开启后，连接表单锁定不可编辑，复制按钮失效，导出查询结果时也自动抹除凭证字段
- 注意：该选项只影响 Compass 界面，不改变实际连接行为，也不加密磁盘上的配置文件
TLS + 密码分离才是完整防护链
光隐藏密码或关掉 Compass 显示远远不够。真实风险来自传输过程被嗅探、配置文件被拖库、日志意外打印 URI —— 所以 TLS 是基础，不是可选项。
- 连接字符串必须带
?tls=true（或?ssl=true，旧版兼容），且服务端已配好有效证书（自签名证书需额外指定tlsCAFile） - 若用
mongodb+srv://格式，TLS 默认启用，但别因此忽略显式校验证书链，尤其测试环境常用自签 CA - 环境变量本身也要保护：避免用
printenv或进程列表暴露，Docker 中慎用ENV指令，优先用--env-file或 secret mount - 最易被忽略的一点：应用日志可能无意记录完整 URI，务必检查所有
console.log、logger.info、异常堆栈是否脱敏
