必须查出用户完整配置再全量更新，否则 updateUser 会清空 roles 等字段导致权限丢失；Atlas 环境不支持该命令，须用控制台或 API 修改密码。
不能直接用 updateUser 命令只改密码而不重置其他字段，否则可能意外清空 roles 或 authenticationRestrictions。
为什么 updateUser 改密码容易丢权限
因为 updateUser 是全量替换逻辑：只要你在 update 文档里没显式写出 roles 字段，它就会被清空；同理，authenticationRestrictions、customData 也一样。很多人只传 { pwd: "new123" }，结果用户立刻失去所有角色，连登录都失败。
- 必须先查出用户当前完整配置（尤其是
roles），再构造带全部字段的 update 对象 -
db.getUser()返回的是只读视图，不包含明文密码，但含roles、authenticationRestrictions等关键字段 - 如果用户是用 SCRAM-SHA-256 创建的，
mechanisms: ["SCRAM-SHA-256"]必须显式带上，否则可能降级为 SHA-1 或报错
安全改密码的正确步骤（mongosh）
在 mongosh 中执行以下三步，避免权限丢失：
- 运行
db.getUser("myuser")，复制返回中的roles、authenticationRestrictions、mechanisms字段值 - 调用
db.updateUser("myuser", { pwd: passwordPrompt(), roles: [ /* 粘贴原 roles */ ], authenticationRestrictions: [ /* 原 restrictions */ ], mechanisms: [ "SCRAM-SHA-256" ] }) - 验证：退出后用新密码重连，再跑一次
db.getUser("myuser")确认roles没变
注意：passwordPrompt() 会交互式输入密码，比写死在命令里更安全；如果非要用明文，记得加引号，比如 pwd: "newpass#2026"。
Atlas 用户别踩坑：这个命令根本不能用
MongoDB Atlas 明确不支持 updateUser 数据库命令（包括 db.updateUser() 方法），调用会直接报错 Command updateUser not supported。你只能通过 Atlas 控制台 UI 或 Atlas Admin API 修改密码 —— 这是硬性限制，不是权限或版本问题。
- 控制台路径：Project → Database Access → 找到用户 → ⋯ → Edit → Reset Password
- API 调用需使用
/groups/{groupId}/databaseUsers/{authDb}/{username}的 PATCH 接口，body 中传{"password": "newpass"} - 本地 mongosh 连上 Atlas 集群时，
db.updateUser()也会被拦截，不要白试
想只加角色或只改限制？别碰 updateUser
如果你只是想给用户加一个 readWrite 角色，或者放宽某条 authenticationRestrictions，updateUser 是错的选择。它强制你提供整套字段，稍有遗漏就出事。
- 加角色用
db.grantRolesToUser("myuser", [{ role: "readWrite", db: "test" }]) - 删角色用
db.revokeRolesFromUser("myuser", ["dbAdmin"]) - 改认证限制用
db.updateUser("myuser", { authenticationRestrictions: [ /* 新数组 */ ] })—— 但依然得带上roles，否则清空
真正只改密码又不想动其他字段的最小安全操作，就是查 + 全量写，没有捷径。尤其在生产环境，少一行 roles 就等于锁死一个服务账号。
