必须显式设置MONGO_INITDB_ROOT_USERNAME和MONGO_INITDB_ROOT_PASSWORD成对非空环境变量，容器首次启动且数据目录为空时才创建root用户并启用认证；连接需指定--authenticationDatabase admin，密码含特殊字符须用单引号包裹。
必须显式设置 MONGO_INITDB_ROOT_USERNAME 和 MONGO_INITDB_ROOT_PASSWORD，否则容器启动后默认不启用认证，任何客户端都能无密码连接。
不设环境变量就跑 mongo 容器等于裸奔
官方 mongo 镜像在首次初始化时，仅当两个环境变量同时存在才会创建 root 用户并启用 --auth 模式。只设一个、或全不设，容器照常启动，但 mongod 进程实际以无认证模式运行 —— 这意味着本地或网络可达的任意 client（比如 mongo shell、mongosh、甚至远程脚本）都能直连 admin 数据库执行任意操作。
-
MONGO_INITDB_ROOT_USERNAME和MONGO_INITDB_ROOT_PASSWORD必须成对出现，缺一不可 - 变量值不能为空字符串（如
-e MONGO_INITDB_ROOT_PASSWORD=），否则初始化失败且日志报错error: password is required - 该机制只在容器**首次启动且数据目录为空**时生效；重启已有数据的容器不会覆盖或重置密码
docker run 启动时必须绑定端口并指定认证数据库
即使设置了环境变量，连接时仍需明确指定 --authenticationDatabase admin，否则会报错 Authentication failed。这是因为 MongoDB 要求所有用户凭证都存储在 admin 数据库中，而客户端默认不查这个库。
- 正确连接命令：
mongosh -u admin -p mypass --authenticationDatabase admin --host localhost --port 27017 - 错误示例：
mongosh -u admin -p mypass（缺--authenticationDatabase，必失败） - 如果用 URI 连接，格式应为：
mongodb://admin:mypass@localhost:27017/?authSource=admin - 端口映射
-p 27017:27017不可省略，否则宿主机无法访问
密码里含特殊字符要小心 shell 解析
如果你的密码含 $、`、!、空格等 shell 元字符，直接写在 -e 参数里会被本地 shell 提前展开或截断，导致实际传给容器的密码和预期不符。
- 推荐做法：用单引号包裹整个
-e参数，例如：-e 'MONGO_INITDB_ROOT_PASSWORD=p@ss$word!' - 避免写法：
-e MONGO_INITDB_ROOT_PASSWORD=p@ss$word!（$word可能被解释为变量） - 更稳妥的方式是改用
docker-compose.yml，用 YAML 字符串语法天然规避 shell 解析问题
生产环境别只靠环境变量初始化用户
环境变量只能建一个 root 级用户，且权限过大（root 角色可操作所有数据库）。真实项目需要按业务拆分账号，比如 app-user 只读写 orders 库，report-user 只读 analytics 库 —— 这些没法用环境变量完成。
- 必须把初始化脚本挂载进
/docker-entrypoint-initdb.d/目录，例如init-users.js - 脚本内用
mongo admin -u root -p 'xxx' --eval "db.createUser(...)”创建最小权限用户 - 挂载方式：
-v $(pwd)/init-users.js:/docker-entrypoint-initdb.d/init-users.js:ro - 注意：脚本只在首次初始化时执行，后续重启不重复运行
最容易被忽略的是：环境变量初始化只发生一次，且无法回退。一旦容器带数据重启，再改环境变量也无效；密码记不住就只能进容器手动重置，而重置又得先关 auth —— 这个闭环很容易让人卡住。
