最直接有效的隔离方式是测试与生产环境使用不同数据库名，如“test_myapp_v2”，并显式指定dbName，禁用测试代码访问生产数据库地址，严格划分账号权限，清理脚本强制校验库名前缀。
用不同数据库名隔离测试与生产数据
最直接有效的方式是让测试环境和生产环境连接同一个 MongoDB 实例时，使用完全不同的 databaseName。MongoDB 本身不提供“租户级”或“实例级”硬隔离，但数据库（database）是天然的逻辑隔离单元——只要不共享 db 名，集合、索引、用户权限就互不可见。
常见错误现象：insertOne 写进了生产库，因为测试代码里漏改了 dbName 参数，或者用环境变量加载失败后 fallback 到默认值 "myapp"；更隐蔽的是 ORM（如 Mongoose）在连接字符串里没显式指定库名，结果连上后自动创建并操作了 test 库（MongoDB 默认行为）。
- 连接时务必显式传入
dbName，不要依赖连接字符串末尾的/dbname（某些驱动会忽略它） - 测试环境强制使用固定前缀，比如
"test_myapp_v2"，CI/CD 中校验该前缀是否存在，避免误用生产库名 - Mongoose 示例：
mongoose.connect("mongodb://localhost:27017", { dbName: "test_myapp_v2" }) - Node.js 原生驱动示例：
client.db("test_myapp_v2")，而不是client.db()（后者返回默认test库）
禁止测试代码访问生产数据库地址
光靠数据库名隔离不够——如果测试代码连的是生产 MongoDB 地址（比如 mongodb://prod-mongo:27017），哪怕指定了 test_ 库名，网络、认证、监控、慢查询日志全打到生产链路上，还可能触发生产集群的连接数限制或防火墙策略。
使用场景：本地开发、CI 流水线、预发环境。这些地方必须切断对生产 MongoDB 的任何网络可达性。
- 开发机禁用
MONGODB_URI指向生产地址；用.env.test单独管理测试配置 - CI 中用 Docker 启一个临时
mongo:6容器，地址写死为mongodb://mongo-test:27017，并通过服务发现注入 - K8s 环境下，测试 Deployment 必须用独立的
Secret，且不能挂载生产环境的mongo-credentials - 检查
mongod日志里是否有来自测试 IP 的连接记录；若有，说明网络隔离失效
清理脚本必须带确认机制和作用域限定
测试结束后自动清库是好习惯，但 db.dropDatabase() 这类操作一旦跑错库或连错实例，就是线上事故。它不区分“这是测试库”，只认当前连接上下文。
性能影响：在大库上执行 dropDatabase 会阻塞其他读写，且无法中断；而 deleteMany({}) 虽慢但可控，还能加 collation 或 hint 避免全表扫描。
- 所有清理脚本开头强制校验
db.getName()是否匹配预期前缀，否则throw new Error("Refusing to drop non-test database: " + name) - 不用
dropDatabase()，改用逐集合collection.deleteMany({})，并加超时和限速（如每秒最多删 1000 条） - CI 中清理前输出
db.runCommand({ listCollections: 1 }).cursor.firstBatch，人工核对集合列表是否合理 - 永远不在生产部署包里打包清理脚本；它们只存在于
scripts/test/下，且不被构建产物包含
权限账号必须按环境严格划分
用同一套数据库账号跑测试和生产，等于把钥匙交给所有人。即使数据库名隔离了，账号权限过大仍可能跨库操作（比如有 listDatabases 权限就能看到生产库存在），甚至通过 copydb 或聚合管道读取其他库数据。
兼容性注意：MongoDB 4.0+ 支持基于角色的权限模型，但老版本（如 3.6）的 userAdmin 角色默认允许操作所有库，容易踩坑。
- 生产账号只授予最小权限：对
"myapp_prod"库的readWrite，禁止dbAdmin、clusterAdmin - 测试账号仅限
"test_myapp_*"库名通配，且必须显式声明resources: { db: "test_myapp_v2", collection: "" } - 用
db.getUser("test-app")定期审计账号权限，检查是否意外继承了root角色 - 连接字符串中禁止明文写密码；测试环境用
SCRAM-SHA-256认证，生产环境建议用 X.509 或 LDAP
真正麻烦的不是建隔离，而是环境变量污染、CI 缓存残留、本地 .bashrc 里 alias 了错误的 mongosh 配置——这些地方没日志、不报错，只悄悄把测试数据写进生产库。
