如何为MongoDB用户指定多个数据库权限？-MongoDB-PHP中文网

mongodb用户由username和authenticationdatabase共同唯一标识，可在任一数据库创建但权限可跨库分配；角色中的db字段决定作用域，多角色叠加实现跨库访问，管理用户应优先在admin库创建并授予权限。

如何为mongodb用户指定多个数据库权限？

用户必须在某个数据库中创建，但权限可以跨库分配

MongoDB 用户由 username 和 authenticationDatabase 共同唯一标识。你只能在一个数据库（比如 admin）中运行 db.createUser() 创建该用户，但这个用户能拥有的权限完全不限于该库——关键在于分配的角色作用域。

常见误解是“在哪个库建用户，就只能管哪个库”，其实不然。例如，在 admin 库创建的用户，通过授予 { role: "read", db: "orders" } 和 { role: "readWrite", db: "logs" } 两个角色，就能同时读取 orders、读写 logs。

身份验证数据库（authenticationDatabase）只决定用户凭据存哪、登录时用哪个库做认证入口
每个角色里的 db 字段才真正指定该角色生效的数据库范围
一个用户可叠加任意数量的角色，只要这些角色在不同数据库上定义（或在 admin 中定义的跨库角色）

在 admin 数据库中创建用户并授予多库角色最稳妥

首次创建管理类用户时，强烈建议直接连到 admin 数据库执行 db.createUser()，并赋予 userAdminAnyDatabase 或 root 角色——否则后续无法在其他库上增删用户。

之后为该用户追加多库权限，用 db.updateUser() 在 admin 库下操作即可：

use admin
db.updateUser("myapp", {
  roles: [
    { role: "readWrite", db: "app_data" },
    { role: "read", db: "reporting" },
    { role: "dbAdmin", db: "audit_log" }
  ]
})

所有角色都写在同一个 roles 数组里，MongoDB 自动合并权限
不要试图在 app_data 库里运行 db.updateUser() 去加 reporting 库的权限——会失败，因为角色作用域不匹配
如果用户已在非 admin 库创建（如 test），仍可通过 use admin + db.updateUser() 更新其角色，只要你是用有足够权限的账号（如 root）登录的

避免用 readWriteAnyDatabase 这类宽泛角色

readWriteAnyDatabase 看似方便，但它授予对所有当前及未来数据库的读写权，违反最小权限原则，且一旦误操作可能波及系统库（如 config、local）。

MongoDB For Windows v3.5.4

下载

真实运维中更可控的做法是显式列出所需库：

用 { role: "readWrite", db: "billing" } 替代 readWriteAnyDatabase，哪怕要写三行
若应用需动态访问新库，应走审批流程，由 DBA 手动追加对应角色，而非预设通配
注意 readAnyDatabase 仍可列出现有库名（listDatabases 返回结果受权限过滤），但不会暴露 config 库细节——这点常被忽略