普通用户默认无法执行 shutdown 命令，因其必须连接 admin 数据库并拥有 root、clusteradmin 或 hostmanager 等特定角色权限；未授权时直接报错“not authorized”，这是 mongodb rbac 机制的硬性拦截，而非配置开关控制。
普通用户默认就不能执行 db.shutdownServer() 或 db.adminCommand({shutdown: 1}) —— 这不是靠“禁止”，而是 MongoDB 权限模型天然限制的结果。只要没给对应权限，命令直接报错。
shutdown 命令只对 admin 数据库的特定角色生效
执行关闭操作必须满足两个硬性条件：连接到 admin 数据库，且当前用户拥有能触发管理命令的角色（如 root、clusterAdmin、hostManager）。普通用户即使连的是 admin，只要没被显式授予这些角色，一调就失败：
use admin
db.shutdownServer()
// Error: not authorized on admin to execute command { shutdown: 1 }
这不是配置开关能打开的权限，是底层 RBAC（基于角色的访问控制）强制拦截的。
检查用户是否意外拥有了 shutdown 权限
常见疏漏是创建用户时用了宽泛角色，比如：
-
db.createUser({user:"ops", pwd:"xxx", roles:["root"]})——root角色包含shutdown能力 -
db.createUser({user:"dev", pwd:"xxx", roles:[{role:"clusterAdmin", db:"admin"}]})——clusterAdmin同样允许 shutdown - 用
userAdminAnyDatabase创建用户后，又手动给该用户加了clusterAdmin—— 权限叠加生效
查当前用户所有角色：db.runCommand({connectionStatus: 1}).authInfo.authenticatedUserRoles；查角色定义：db.getRole("clusterAdmin", {showPrivileges: true})，里面明确列出 "shutdown" 操作。
真正要防的其实是 admin 用户误操作或凭证泄露
权限系统管得住“谁不能关”，但管不住“谁拿到了能关的账号”。所以实际防护重点在：
- 不给业务/开发人员分配
admin库的任何角色，哪怕只是readAnyDatabase - 生产环境
admin用户密码必须强且独立保管，避免和应用账号共用凭证 - 启动时加
--bind_ip限制 admin 接口只监听本地或内网 IP，防止远程直连执行 shutdown - 启用
security.authorization: enabled后，所有连接都必须认证 —— 这是前提，否则连use admin都可能被跳过
没有 auth 的 MongoDB 实例，任何能连上的客户端都可以直接执行 shutdown，这时候谈“禁止普通用户”已经失去意义。
最易被忽略的一点：shutdown 不仅可通过 shell 执行，还能通过驱动调用 adminCommand 发送 —— 所以权限控制必须落在服务端角色上，而不是靠客户端脚本过滤命令。
