直接用 mongo_initdb_root_username 和 mongo_initdb_root_password 启动即可自动创建 root 用户并启用认证，无需手动建用户或加 --auth 参数，但必须同时设置且仅首次启动生效，连接时务必指定 authsource=admin。
直接用 MONGO_INITDB_ROOT_USERNAME 启动就行，别手动生成用户
新版 MongoDB（3.6.20+）镜像原生支持初始化 root 用户，只要在 docker run 或 docker-compose.yml 中设置环境变量，容器首次启动时就会自动创建 admin 数据库里的 root 用户，并启用认证——不需要进容器、不用手动 use admin、更不用反复 db.createUser。
-
MONGO_INITDB_ROOT_USERNAME和MONGO_INITDB_ROOT_PASSWORD必须同时设置，缺一不可 - 该机制只在容器首次启动、
/data/db目录为空时生效；已有数据的卷不会重复执行 - 生成的用户角色是
root，权限覆盖所有数据库，等效于{role: "root", db: "admin"} - 镜像会自动以
--auth模式运行，无需额外加参数或改配置文件
docker run 命令里加 --auth 已失效，别再这么干
老教程常写 docker run mongo --auth，但这在官方镜像中早已不生效。原因很简单：Docker 镜像的入口脚本（entrypoint）会忽略你传给 mongod 的裸参数，除非你显式覆盖 command 并绕过初始化逻辑——这反而会跳过 MONGO_INITDB_* 自动建用户流程，导致认证开启但没用户，连接直接被拒。
- 错误写法：
docker run -d -e MONGO_INITDB_ROOT_USERNAME=a -e MONGO_INITDB_ROOT_PASSWORD=b mongo:7.0 --auth→--auth被忽略，且因初始化脚本未被触发，admin用户根本没创建 - 正确写法：去掉
--auth，只保留环境变量，让镜像自己决定如何启动 - 如果你硬要用自定义
command（比如启副本集），就必须自己保证mongod命令带--auth，且提前在/docker-entrypoint-initdb.d/下放好初始化脚本
连接时必须指定 authSource=admin，否则 100% 认证失败
很多人用 mongo -u user -p pass -host 127.0.0.1:27017 连不上，报错 Authentication failed，不是密码错，而是没告诉驱动“去哪个库验身份”。MongoDB 的用户凭证默认存在 admin 库，但客户端默认在目标库（比如 test）里找用户，自然找不到。
- 命令行连接示例：
mongo "mongodb://admin:yourpass@localhost:27017/?authSource=admin" - Node.js 驱动连接字符串也一样：
mongodb://admin:pass@host:27017/mydb?authSource=admin - Python PyMongo 同理：
client = MongoClient("mongodb://admin:pass@host:27017/?authSource=admin") - 如果省略
authSource，哪怕用户名密码全对，也会返回AuthenticationFailed
挂载外部配置文件时，security.authorization: enabled 是冗余的
有人为了“保险”，在挂载的 mongod.conf 里写 security: authorization: enabled，结果容器启动失败或认证异常。这是因为官方镜像的启动逻辑和配置文件存在冲突：镜像内部已通过 --auth 参数启用认证，再叠加配置文件中的 authorization: enabled 可能触发双重校验或参数冲突。
- 推荐做法：完全不用挂载
mongod.conf，靠环境变量驱动初始化 - 若必须挂载（比如要调日志级别、开副本集），确保配置文件里 不出现
security相关字段 - 验证方式：进容器执行
ps aux | grep mongod，看到命令行含--auth即可，无需再查配置文件
authSource=admin 缺失和环境变量未生效这两处；前者导致连得上但操作被拒，后者导致连都连不上——它们看起来像权限问题，本质是连接协议或初始化流程没走对。
