MongoDB社区版不支持审计日志，仅企业版内置auditLog且默认不记录查询语句细节；需确认版本、正确配置YAML格式，并结合应用层日志等方案弥补。
MongoDB 本身不提供“记录所有查询请求”的开箱即用能力，尤其在社区版中完全不支持审计功能；只有 MongoDB Enterprise Edition 才内置 auditLog，且默认不记录 SQL/查询语句内容（如 find 的 filter、update 的 update document），只记录操作类型、用户、时间、集合名等元信息。
确认是否在用 Enterprise 版本
这是最前置、最容易被跳过的一步。运行：
mongod --version
输出中必须包含 Enterprise 字样。如果显示 Community，则 auditLog 配置会被忽略，启动时日志里会出现警告：
WARN [initandlisten] auditLog configuration ignored: not available in Community Edition
- 社区版用户无法绕过此限制——没有补丁、没有隐藏开关、没有配置项能启用全量操作日志
- 试图在社区版配置文件中写
auditLog不报错，但也不生效 - 云服务（如 MongoDB Atlas、腾讯云 MongoDB）的“审计”是托管层额外加的日志代理，与本地
mongod的auditLog无关
auditLog 能记什么、不能记什么
auditLog 记录的是“事件类型（atype）”，不是原始命令。例如：
{"atype":"find","user":"admin","db":"test","coll":"orders","result":"success"}
- ✅ 记录：谁（
user）、何时（time）、在哪库哪表（db/coll）、执行了什么动作（find/insert/authCheck）、结果（result） - ❌ 不记录：
find({status: "pending", ts: {$gt: ISODate("...")}})这样的具体查询条件 - ❌ 不记录：
updateOne的$set内容、delete的匹配器细节 - filter 参数只能过滤“记哪些事件”，不能增强“记多少字段”
配置 auditLog 的关键实操点
在 mongod.conf 中添加（注意缩进和 YAML 语法）：
auditLog:
destination: file
format: JSON
path: /var/log/mongodb/audit.log
filter: '{ atype: { $in: ["find", "insert", "update", "delete", "authCheck"] } }'
-
format推荐用JSON，比BSON更易读、易被日志系统（如 Filebeat、Fluentd）解析 -
path对应的目录必须存在，且mongodb用户有写权限：sudo chown mongodb:mongodb /var/log/mongodb/ -
filter是字符串，不是 YAML 对象，必须用单引号包裹，且内部是合法的 MongoDB 查询表达式（不能写 JavaScript 函数） - 不要把
auditLog放在security:下——它是一级配置项，和storage、systemLog并列
替代方案：社区版如何逼近“全量查询记录”
如果你用的是社区版，或企业版但需要捕获实际查询语句，唯一可靠路径是应用层介入：
- 在 driver 层封装：比如 Node.js 的
mongodb包，用addCommandStartedListener拦截所有命令（含find的filter和projection） - 开启 MongoDB 的慢查询日志（
systemLog.verbosity: 1+operationProfiling.mode: slowOp），但仅限慢操作，且日志格式非结构化 - 用网络中间件（如
mitmproxy或自研 TCP 代理）镜像 MongoDB wire protocol 流量——可行但复杂度高，且加密连接（TLS）下不可行 - 注意：
db.setProfilingLevel(2)只记录到system.profile集合，不落盘为文件，也不含客户端 IP，不适合长期合规存档
真正满足等保、GDPR 等场景的“全量查询语句留存”，靠 auditLog 是不够的；必须结合应用日志 + 访问代理 + 定期导出 profile 数据，并自行做字段脱敏和生命周期管理。
