安全与加密

这一课你将能做到

1. 开启 MongoDB 认证，创建最小权限的业务账号，并理解内置角色（read / readWrite / dbAdmin）
2. 说清楚 RBAC、TLS 传输加密、存储加密（Encryption at Rest）、可查询加密（Queryable Encryption）各自防什么
3. 配置审计日志思路，知道敏感字段（手机号、身份证）在 MongoDB 里的保护手段

为什么要学

MongoDB 勒索事件臭名昭著：早年大量实例裸奔在公网（无认证 + 绑定 0.0.0.0），被脚本批量扫描、拖库、删库、留勒索信。原因不是 MongoDB 不安全，而是默认配置宽松 + 使用者没意识。

真实业务里安全是分层的：网络层（谁能连）、认证层（你是谁）、授权层（你能干什么）、传输层（窃听）、存储层（拖库后的底牌）。这一课按层讲清楚，每层给出可操作的配置。

先建立图像

五道防线：

① 网络    bind_ip / 防火墙 / VPC      → 谁能摸到 27017
② 认证    SCRAM / x.509 / LDAP        → 连上后证明你是谁
③ 授权    RBAC 角色                    → 你对哪个库有什么权限
④ 传输    TLS                          → 链路上不被窃听/篡改
⑤ 存储    WiredTiger 加密 / 字段级加密 → 磁盘被拖走也读不出明文

内置角色速查：

角色	能力	典型用途
read	读指定库	报表、只读账号
readWrite	读写指定库	业务应用账号（最常用）
dbAdmin	管索引/统计，不能读写数据	DBA 运维
userAdmin	管用户和角色	账号管理
root	所有权限	紧急使用，平时禁用

跟着做

步骤 1：先建管理员，再开认证（顺序不能反）

先在未开认证的实例上建管理员：

mongosh --port 27017

use admin
db.createUser({
  user: "admin",
  pwd: "Str0ng!Passw0rd",
  roles: [ { role: "userAdminAnyDatabase", db: "admin" } ]
})

重启实例并开启认证（Docker 示例）：

docker stop m1 && docker rm m1
docker run -d --name m1 --net mongo-net -p 27017:27017 mongo:7 \
  --replSet rs0 --bind_ip_all --keyFile /etc/mongo-keyfile --auth

（复制集节点间认证用 keyFile，单机直接 --auth。）

认证连接：

mongosh "mongodb://admin:Str0ng!Passw0rd@localhost:27017/admin"

步骤 2：给应用建最小权限账号

本站的应用只需要读写 codeforge 库：

use admin
db.createUser({
  user: "codeforge_app",
  pwd: "App!Pass2026",
  roles: [ { role: "readWrite", db: "codeforge" } ]
})

再建一个数据分析用的只读账号：

db.createUser({
  user: "codeforge_bi",
  pwd: "Bi!Pass2026",
  roles: [ { role: "read", db: "codeforge" } ]
})