MongoDB不支持跨库原子批量改权限，须用db.updateUser()在各库上下文中逐个更新；需先getSiblingDB()切换数据库、getUser()读取原角色、合并新角色后全量写入，避免权限丢失。
怎么用 MongoDB Shell 脚本批量修改多个数据库用户的权限
直接结论：MongoDB 不支持跨库原子性地批量更新用户权限，但可以通过 db.updateUser() 在单个数据库上下文中逐个调用实现。关键不是“写循环”，而是确保脚本在正确的数据库上下文执行、权限字段结构准确、且不意外覆盖原有角色。
为什么 db.updateUser() 必须在对应数据库下运行
用户是数据库级对象，db.updateUser() 操作只影响当前 db 所指向的数据库中的用户。如果在 admin 库里执行 db.updateUser("u1", {...})，它改的是 admin 库的用户 u1，不是 myapp 库的同名用户。
- 错误做法：连上
admin后直接遍历用户列表并调用db.updateUser()—— 全部操作都落在admin上 - 正确做法：对每个目标数据库，先用
db = db.getSiblingDB("dbname")切换上下文，再调用db.updateUser() - 注意：
getSiblingDB()不会自动认证，若用户无该库权限，操作会因权限不足失败（报错not authorized on dbname to execute command）
批量更新时角色数组（roles）该怎么写才安全
updateUser() 的 roles 字段是**全量替换**，不是增量添加。如果只传 [{role:"readWrite", db:"myapp"}]，用户原来拥有的 dbAdmin 或其它库的角色会全部丢失。
- 务必先用
db.getUser("username")获取当前完整角色配置 - 手动合并新角色：比如保留原角色，仅给
myapp加readWrite，需构造包含原角色 + 新增项的数组 - 示例（在
myapp库中执行）：db.updateUser("alice", { roles: [ {role: "readWrite", db: "myapp"}, {role: "read", db: "reporting"}, ...db.getUser("alice").roles.filter(r => r.db !== "myapp") // 保留其它库角色 ] }) - 如果只是想“统一设为 readWrite”，且确认所有目标用户此前只有该库权限，可直接覆盖；否则必须读取+合并
实际可用的 JavaScript 循环脚本模板（Shell 中直接运行）
以下脚本在 mongosh 或旧版 mongo shell 中均可运行，假设你要给 db1、db2、db3 中的用户 appuser 统一添加 readWrite 权限，并保留其在其它库的角色：
分析 Java Spring Boot 后端 Controller 代码，自动生成 Markdown 格式的接口文档。当用户说“生成 Java 接口文档”、“生成 API 文档”、“从 Spring 代码生成文档”时触发。
立即学习“Java免费学习笔记（深入）”；
const targetDbs = ["db1", "db2", "db3"];
const username = "appuser";
const newRole = {role: "readWrite", db: null}; // db 会在循环中填入
targetDbs.forEach(dbname => {
const db = db.getSiblingDB(dbname);
try {
const user = db.getUser(username);
if (!user) {
print(`⚠️ User ${username} not found in ${dbname}`);
return;
}
const updatedRoles = user.roles
.filter(r => r.db !== dbname) // 剔除当前库旧角色（避免重复）
.concat([{...newRole, db: dbname}]); // 插入新角色
db.updateUser(username, {roles: updatedRoles});
print(`✅ Updated ${username} in ${dbname}`);
} catch (e) {
print(`❌ Failed in ${dbname}: ${e.message}`);
}
});
注意：脚本需以有权限的管理员身份连接（如 mongosh -u admin -p pwd --authenticationDatabase admin），且该管理员必须对每个 targetDbs 都有 userAdmin 或等效权限。
最容易被忽略的一点：角色里的 db 字段值必须是字符串，不能是变量未展开、不能拼错、也不能是空字符串 —— {db: ""} 和 {db: null} 都会导致操作失败或行为异常。
