mongodb审计日志默认不记录字段级变更，仅记录操作元信息；需通过应用层快照或change stream（需副本集并启用fulldocumentbeforechange）实现字段级审计。
update操作默认不记录字段级变更
MongoDB审计日志里的update事件只记录操作本身（如哪个集合、用了什么filter），param里没有$set或$unset等实际修改内容。你看到的只是“有人改了myapp.users”，但不知道改了email还是balance。
想拿到字段级变更，得绕开auditLog直接取数据
审计日志不是为字段追踪设计的，官方没提供开关。真要还原变更细节，有两条路可走：
- 应用层在执行
updateOne前先findOne查出旧值，和新值一起打日志（带trace_id对齐） - 启用
change stream监听update事件，它会返回fullDocumentBeforeChange和updateDescription，后者明确列出updatedFields和removedFields
注意：change stream要求副本集，且fullDocumentBeforeChange需在创建stream时显式开启。
auditLog里唯一能间接推断字段变更的线索
某些场景下，filter里带param.q（如{"_id": ObjectId(...)}）+ param.u（如{"$set": {"status": "paid"}}）确实会出现，但这取决于驱动版本和MongoDB内核行为，不保证稳定输出。别把它当正式字段依赖。
常见错误是以为加了"atype": "update"就能看到修改内容——实际上param.u在审计日志中极少出现，即使出现也未被filter语法支持提取。
别指望用auditLog替代业务层变更追踪
auditLog定位的是“谁在什么时候做了什么操作”，不是“数据从A变成B的过程”。字段级审计必须由应用控制：要么提前快照，要么用change stream捕获实时差异。把这一步交给数据库，等于让审计日志承担它没被设计去做的事。
