mongodb 5.0+要求keyfile权限必须为400（-r--------），chmod 600会被判定“too open”并致命报错；正确操作是先chmod 400再chown对应用户（如mongodb或uid 999），顺序不可颠倒，并需排查selinux/apparmor拦截及父目录执行权限。
keyFile权限必须是400，不是600
MongoDB 5.0+ 启动时会严格校验 keyFile 权限，只要不是 400（即 -r--------），就会直接报错 Keyfile permissions are too open 并退出——不是警告，不写日志，进程根本起不来。
常见错误操作包括：
-
chmod 600→ 看似只属主可读写，但 MongoDB 认为“too open”，拒绝加载 -
chmod 644或chmod 755→ group/other 有读或执行位，必然失败 - 用
touch创建后没改权限 → 默认可能是644，直接中招
正确命令只有一条：chmod 400 /path/to/keyfile。别加 -R，别犹豫，就这一行。
chown 必须在 chmod 之后执行
某些 Linux 发行版（如 RHEL/CentOS）下，chown 命令会悄悄重置文件权限位。如果你先 chown mongodb:mongodb /etc/mongod-keyfile 再 chmod 400，chown 可能把权限改回 600，导致后续启动失败。
正确顺序必须是：
chmod 400 /etc/mongod-keyfile-
chown mongodb:mongodb /etc/mongod-keyfile（属主需匹配mongod实际运行用户，可用ps -u mongodb -o comm=确认）
验证命令：ls -l /etc/mongod-keyfile 输出必须是 -r-------- 1 mongodb mongodb。
Docker 容器里 keyFile 权限容易被覆盖
Docker 构建或挂载时，keyFile 的权限常被重置为默认值（如 644），即使宿主机上已设好 400。
解决方法是在 Dockerfile 中显式修复：
COPY keyfile /keyfileRUN chmod 400 /keyfile-
RUN chown 999:999 /keyfile（注意：MongoDB 官方镜像默认用户 UID 是999，不是mongodb）
若用 docker run -v 挂载宿主机文件，需确保宿主机上该文件已是 400 且属主 UID 匹配容器内用户，否则容器启动时仍会失败。
SELinux 或 AppArmor 会静默拦截读取
即使 ls -l 显示权限完全正确，mongod 仍可能无法读取 keyFile——这时大概率是 SELinux 或 AppArmor 在拦截。
排查方式：
- 临时关闭 SELinux 测试：
setenforce 0，再启服务；成功则说明是 SELinux 问题 - 永久修复：
semanage fcontext -a -t mongod_etc_t "/path/to/keyfile"，然后restorecon -v /path/to/keyfile - Ubuntu/Debian 用户检查 AppArmor：
aa-status | grep mongod，确认规则包含/path/to/keyfile r
真正卡住人的往往不是 400 本身，而是改完权限后仍失败——八成是 SELinux/AppArmor 上下文没同步更新，或者 keyFile 被放在了 /tmp 或 /home 下（某些策略默认禁读）。动手前先看 journalctl -u mongod -n 50 --no-pager，错误源头通常就藏在倒数几行里。
