如何在MongoDB中撤销一个已授权用户的访问权限？

MongoDB只能撤销整个角色而非单项权限，需用db.revokeRolesFromUser传精确角色对象（含role和db字段），并查清权限来源与继承关系，撤销后需重建连接生效。

不能直接“撤销某项访问权限”，MongoDB 只能撤销整个角色。想收掉用户对某个库的写权限，就得把 readWrite 角色从那个库上撤掉；想留读权限，得另建一个只含 find 的自定义角色再补上去。

db.revokeRolesFromUser 要求 role 描述和授予权限时完全一致

常见错误是只传角色名，比如 db.revokeRolesFromUser("alice", ["readWrite"]) —— 这会静默失败。MongoDB 认为这不是一个合法的 role 描述。

• 必须传对象数组，每个对象包含 role 和 db 字段，例如：[{ role: "readWrite", db: "reporting" }]
• db 字段大小写、拼写、是否为 admin 库，必须和当初 db.grantRolesToUser 时一模一样
• 如果角色是自定义的且定义在 admin 库，db 字段仍填 "admin"，不是它生效的目标库
• 多个角色要一起撤，就塞进同一个数组里，别分开调用

先查清权限来源，否则容易漏撤或误撤

用户能执行 dropCollection，未必是因为有 readWrite，更可能是继承了 dbOwner 或 clusterAdmin。不查清楚就动手，可能留下高危权限。

• 运行 db.getUser("alice", { showPrivileges: true })，重点看 roles 和 inheritedRoles 字段
• 注意同一角色在不同库上是独立授权，{ role: "read", db: "logs" } 和 { role: "read", db: "metrics" } 是两条记录
• 如果是自定义角色，用 db.getRole("myRole", { showPrivileges: true }) 查它实际包含哪些操作
• 特别留意 inheritedRoles 里有没有来自其他角色的间接权限，源头可能藏在另一个角色定义里

撤销后权限不立即生效？不是缓存问题，是连接/驱动没重载

MongoDB 权限变更写入 system.users 是原子且即时的，但客户端表现“延迟”，基本都是因为连接复用或驱动没重建会话。

• Shell 中新开一个 mongo 连接，再跑 db.runCommand({ connectionStatus: 1 }).authInfo.authenticatedUserRoles 确认角色列表已更新
• Node.js 驱动不会自动刷新权限，必须重建 MongoClient 实例，或重启应用
• 不要依赖旧连接做验证——它可能还带着撤销前的认证上下文
• 如果撤销后用户仍能操作，优先检查是否还有其他数据库上的同名角色没撤，比如 { role: "readWrite", db: "admin" } 漏掉了

真正麻烦的不是命令怎么写，而是权限拓扑本身：一个用户可能横跨多个库、持有多个角色、角色之间还有继承关系。没理清这张图就执行 revokeRolesFromUser，很容易收一半放一半，或者误砍掉 userAdminAnyDatabase 导致后续连不上 admin 库。