MongoDB不能直接撤销角色中的某项操作权限，只能通过revokePrivilegesFromRole从自定义角色中移除明确声明的特权，对内置角色无效；撤销后需重建连接才能生效。
不能直接撤销角色里的某项操作权限。MongoDB 的角色是原子性授权单元，revokePrivilegesFromRole 只能从自定义角色中移除已明确声明的特权，对内置角色（如 readWrite、dbOwner）完全无效。
revokePrivilegesFromRole 只适用于自定义角色
这个命令只作用于你用 createRole 显式创建的角色，且必须在该角色定义的数据库上下文中执行。比如你在 analytics 库里建了个叫 reportViewer 的角色，它包含 find 和 collStats 权限，现在想删掉 collStats，就得这样调：
use analytics
db.revokePrivilegesFromRole("reportViewer", [
{ resource: { collection: "" }, actions: ["collStats"] }
])
常见错误包括：
- 对内置角色（如
read）调用该命令 —— 会返回"no role found"错误 - 在错误的数据库执行，比如角色定义在
admin，却在test库里运行命令 —— 权限不会被修改 - 传入的
resource描述和当初grantPrivilegesToRole时不一致（比如 collection 名多空格、database 字段错写成字符串而非对象）—— 静默忽略
想限制某用户对某个集合的写操作？别动角色，改用户授权
如果你的目标是“让 Alice 不能再往 logs.errors 写，但保留其他读权限”，正确路径不是改角色，而是调整用户持有的角色组合：
- 先查清 Alice 当前所有角色：
db.getUser("alice", { showPrivileges: true })，重点看inheritedRoles - 如果她通过
{ role: "readWrite", db: "logs" }获得写权限，就用db.revokeRolesFromUser撤掉整个角色 - 再补一个仅含读权限的自定义角色，比如
{ role: "logReader", db: "logs" }，确保它没包含insert、update等动作 - 注意：不要试图给
readWrite角色“打补丁”，它不可拆分
撤销后权限不生效？大概率是连接没重建
MongoDB 权限变更写入 system.users 是即时的，但客户端驱动（尤其是 Node.js 的 mongodb 包）不会自动刷新认证上下文：
- 在 mongosh 里验证，必须新开一个连接，再跑
db.runCommand({ connectionStatus: 1 }).authInfo.authenticatedUserRoles - Node.js 应用中，
client.db("xxx").collection("yyy").insertOne(...)仍可能成功 —— 因为复用的是旧会话，必须重建MongoClient实例 - Java 驱动同理，需重新
authenticate()或新建MongoClient
真正难的不是命令怎么敲，而是搞清权限来源链：一个 insert 权限可能来自三层继承 —— 用户直授角色 → 该角色继承另一个角色 → 那个角色又继承了 clusterAdmin。没理清这张图就动手，撤掉的只是表层权限，底层漏洞还在开着。
