mongodb中不能直接修改自定义角色权限，必须用db.updaterole()替换整个privileges数组，或用db.grantprivilegestorole()/db.revokeprivilegesfromrole()增删完全匹配的权限条目；权限变更后需重建连接且角色授予上下文必须正确。
不能直接“修改”已创建的自定义角色权限，必须用 db.updateRole() 替换整个 privileges 数组，或用 db.grantPrivilegesToRole() / db.revokePrivilegesFromRole() 增删动作——这是最常被误以为能“编辑字段”的地方。
为什么 db.updateRole() 是唯一真正意义上的“修改”操作
db.createRole() 之后，角色的 privileges 和 roles 是只读快照；MongoDB 不支持像更新文档字段那样局部修改权限列表。想调整某条 privilege 的 actions 或 resource，必须整条替换。
-
db.updateRole("myAppRole", { privileges: [...] }, { writeConcern: { w: "majority" } })—— 必须提供完整的新privileges数组，旧的全丢弃 - 如果只想加一个 action（比如补上
"listIndexes"），得先db.getRole("myAppRole", { showPrivileges: true })拿出当前数组，再手动 push 新项，最后传回updateRole - 不指定
{ w: "majority" }可能在副本集上写入失败，尤其当部分节点不可达时
grantPrivilegesToRole 和 revokePrivilegesFromRole 的适用边界
这两个命令看似“增删”，实际是原子级追加或移除——但仅限于完全匹配的 privilege 条目（resource + actions 完全一致才算同一条）。稍有差异就会新建一条，而不是合并。
- 例如已有
{ resource: {db:"orders", collection:"users"}, actions:["find"] }，执行grantPrivilegesToRole("myAppRole", [{ resource: {db:"orders", collection:"users"}, actions:["update"] }])→ 新增一条独立 privilege，不是把["find"]扩成["find","update"] - 想撤销某 action，必须传入和原始定义一模一样的对象，包括大小写、键顺序（
db在前还是collection在前） - 对
roles字段（即继承的角色）无效，只能操作privileges
权限变更后不生效？检查连接上下文和角色作用域
改完角色，用户权限不会自动刷新，且新权限只在新连接中生效；更隐蔽的是：角色必须在它被定义的数据库里授予，否则权限不触发。
- 自定义角色总是在
admin库创建（use admin后执行createRole），但授予用户时，db.grantRolesToUser()的db字段必须写"admin"，哪怕用户在其他库认证 - 用户当前连接未断开，仍持有旧权限缓存；
db.auth()不重载权限，必须退出mongosh或重启应用连接池 - 验证时别只查
db.getUser("u")，要用该用户真实执行操作，比如use orders; db.users.insertOne({})看是否报not authorized on orders to execute command insert
真正麻烦的不是命令怎么写，而是每次调整都要确认三件事：privilege 的 resource 是否精确匹配目标库/集合、role 授予时的 db 上下文是否正确、客户端是否已重建连接——漏掉任何一环，都会让你以为权限没生效。
