必须显式关闭enablelocalhostauthbypass，否则本地root用户可绕过认证；因该机制默认启用，允许127.0.0.1连接无凭证访问，一旦服务器失陷即导致数据库沦陷，且不随角色权限变化，需在配置中设setparameter: enablelocalhostauthbypass: false并重启服务。
必须显式关闭 enableLocalhostAuthBypass，否则即使启用了认证，本地 root 用户仍可绕过密码直接登录。
为什么 localhost 例外机制本身就不安全
MongoDB 默认允许任何在本机执行的 mongo 命令（如 mongo --host 127.0.0.1）跳过身份验证，只要服务启用了 security.authorization: true 且未显式禁用该 bypass。这看似方便开发，但实际带来严重风险：
- 一旦攻击者拿到服务器 shell 权限（比如通过 Web 漏洞、弱 SSH 密码），就能立刻无凭证访问数据库
- 容器或云主机中，“localhost”可能被其他租户进程复用，边界并不绝对可信
- 自动化脚本或 CI/CD 流水线若误用本地连接，会掩盖真实权限配置问题
如何确认并关闭 localhost 认证绕过
检查当前配置是否仍在启用该机制：
- 查看配置文件中
setParameter.enableLocalhostAuthBypass的值：如果为true或缺失（默认即 true），则处于开启状态 - 连接后执行
db.runCommand({getCmdLineOpts: 1})，搜索enableLocalhostAuthBypass字段确认运行时值 - 尝试无凭据连接：
mongo --host 127.0.0.1 --port 27017 admin；若能成功进入并执行db.runCommand({listDatabases: 1})，说明 bypass 仍生效
关闭操作只需一步：在 /etc/mongod.conf（Linux）或对应平台配置路径）的 setParameter 段下明确设为 false：
setParameter: enableLocalhostAuthBypass: false
改完必须重启服务：sudo systemctl restart mongod，再用上面的无凭据命令验证是否报错 not authorized。
容易被忽略的两个关键点
这个设置常被跳过，不是因为难，而是因为“它默认开着，又没报错”——但隐患就在那里：
-
enableLocalhostAuthBypass是全局开关，不随用户角色变化；哪怕你只给普通应用用户最小权限，root 用户仍可通过本地绕过获得全库控制权 - 某些旧版部署模板或 Dockerfile 中硬编码了
--setParameter enableLocalhostAuthBypass=true，即使配置文件已改，启动参数仍会覆盖它，务必检查systemctl cat mongod输出中的ExecStart
真正安全的起点，是让每一次连接——无论来自哪里、用什么工具——都必须携带有效凭据。localhost 从来不是信任边界，只是网络层的一个地址。
