MongoDB旧HTTP接口默认不安全，因其无认证、无授权、无TLS加密且无法限流或白名单，易致数据泄露，3.2起默认关闭、4.0完全移除。
为什么 MongoDB 自带的 HTTP 接口默认不安全
MongoDB 2.6 及更早版本曾内置一个简单的 HTTP 管理接口（监听在 27018 端口），它提供只读的 JSON 格式统计页（如 /dbStats、/serverStatus）和 REST 风格的文档查询（如 /mydb/mycol/）。这个接口**无认证、无授权、无 TLS 加密**，且无法配置白名单或限流。一旦暴露在公网或非信任网络，攻击者可直接获取数据库结构、集合大小、甚至通过 REST 路径遍历读取部分文档。
它不是官方推荐的生产访问方式，早在 MongoDB 3.0 就被标记为废弃，3.2 起默认关闭，4.0 完全移除。
如何确认你的 MongoDB 是否启用了旧 HTTP 接口
检查启动参数或配置文件中是否包含以下任一设置：
-
httpinterface=true（命令行参数）
-
http.enabled: true（YAML 配置）
-
rest: true（旧版配置项）
httpinterface=true（命令行参数）http.enabled: true（YAML 配置）rest: true（旧版配置项）运行中可执行：
netstat -tlnp | grep :27018或
lsof -i :27018。若端口监听存在，且
mongod 进程启动时带了上述参数，则接口处于启用状态。
禁用 HTTP/REST 接口的实操步骤
禁用操作本身很简单，但关键在于「确保没遗漏隐式启用」：
- 检查主配置文件（如
/etc/mongod.conf），删除或注释掉http和rest相关字段； - 检查 systemd 启动脚本（
/lib/systemd/system/mongod.service）中ExecStart行，确认没有--httpinterface或--rest； - 重启服务后验证：
curl -s http://localhost:27018/ | head -n 5
应返回连接拒绝或空响应； - 若使用容器部署（Docker/K8s），检查
command或args字段是否硬编码了--rest；
注意：MongoDB 4.2+ 已完全移除该功能，即使配置了也不会生效——但旧配置残留可能误导运维判断，建议一并清理。
替代方案：需要 Web API 时该怎么做
如果你确实需要对外暴露 MongoDB 数据的 HTTP 访问能力（比如内部工具调用），不要复活已废弃接口，而应走标准路径：
- 用官方驱动（
pymongo、mongodb-node-driver）写一层轻量服务，自行控制认证、鉴权、速率限制和输入校验； - 使用现成的 BaaS 工具（如
mongoku、mongo-express），但务必限制其监听地址为127.0.0.1，并前置反向代理（Nginx）加 Basic Auth 或 JWT； - 避免将任何 MongoDB 直连服务暴露到公网；真实业务 API 应通过应用层抽象，而非裸露数据库语义；
最常被忽略的一点：开发环境随手启用的 --rest，很容易随配置模板带入测试或预发环境，而监控告警又不覆盖 27018 端口状态——这类“安静的漏洞”比明显报错更危险。
