是，只读用户默认能执行聚合操作；内置read角色包含aggregate权限，但需正确配置认证库（--authenticationdatabase admin）、用户必须创建在admin库，且无其他权限拦截。
只读用户默认不能执行聚合操作？
不是不能，而是取决于角色分配。内置 read 角色明确包含 aggregate 权限，所以只要用户被授予 { role: "read", db: "mydb" }，就能在 mydb 中运行任意聚合管道——但前提是没被其他限制拦截。
常见误判是：用户能连上、能 find()，却在 Compass 或 mongosh 中执行 aggregate() 报 not authorized。这通常是因为：
- 连接时未指定
--authenticationDatabase admin，导致认证上下文错误，降级为无权限用户 - 用户创建在非
admin库（如直接在mydb下运行db.createUser()），而 MongoDB 要求 RBAC 用户元数据必须存于admin库才生效 - 副本集启用了
security.authorization: enabled，但未重启或未在所有节点同步用户配置
想限制只读用户只能跑特定聚合管道？得用自定义角色
内置 read 角色不区分管道内容，它放行所有 $match、$group、$lookup 等阶段。若需“只允许查订单汇总，禁止查用户明细”，必须自定义角色并绑定精确资源和动作。
关键点：
- 角色必须在
admin数据库中创建：use admin后再执行db.createRole() -
resource字段必须同时指定db和collection，例如{ db: "mydb", collection: "orders" }；留空collection或写成""会退化为全库权限 -
actions列表里只写实际需要的，比如["find"]—— 不要偷懒填["*"]，否则等同于开放整个集合 - 聚合视图（view）本身是只读的，但用户仍需对底层集合有
find权限才能查询视图；视图不能绕过集合级权限检查
Compass 中聚合超时或预览失败，和用户权限无关
权限问题不会导致 Max Time MS 超时或 Preview documents 显示为空。这两类现象本质是执行控制参数或资源限制，和 read 权限是否生效无关。
排查方向：
-
Max Time MS默认 60000（60 秒），若管道含大表$lookup或未建索引的$match，容易超时；可临时调高，但更应优化管道（如前置$limit、加索引） -
Limit设置（管道构建器齿轮图标里）仅影响预览，不影响真实执行；设太小（如 100）可能导致预览结果丢失关键分组项，误判管道逻辑错误 - 副本集主节点负载高或网络延迟大时，Compass 的实时预览可能中断，换用 mongosh 手动执行
db.orders.aggregate([...]).toArray()更可靠
权限验证必须换用户、换连接串实测
配完角色别信“应该可以了”。必须用新用户全新连接，且显式带上认证库：
mongosh "mongodb://localhost:27017/mydb" --username readonly_user --password xxx --authenticationDatabase admin
然后逐条验证：
-
db.orders.aggregate([ { $group: { _id: "$status", count: { $sum: 1 } } } ]).toArray()→ 应成功 -
db.users.aggregate([ { $sample: { size: 1 } } ])→ 应报错not authorized on mydb to execute command { aggregate: "users", ... } -
show collections→ 可能只显示orders（因listCollections权限未授予），这不是 bug，是预期行为
最容易被忽略的是：权限缓存在连接池里。改完角色后，旧连接仍沿用旧上下文，必须断开重连，或重启 mongosh 实例。
