MongoDB密码强度校验必须通过createUser或changeUserPassword命令实时触发，validatePassword已弃用且不校验哈希；外部脚本需严格复现minLength和四类字符（大小写字母、数字、指定特殊符号）白名单逻辑。
db.runCommand({validatePassword: "xxx"}) 不是通用校验器
这个命令看似能验证密码强度，但它只检查当前实例是否启用了 pwdPolicy，且仅对传入的纯字符串做一次本地规则匹配——它不读取用户实际存储的密码哈希，也不触发 SCRAM 认证流程。更关键的是：validatePassword 命令在 MongoDB 6.0+ 中已被标记为 deprecated，部分新部署实例可能直接返回 "no such command" 错误。
真正有效的密码强度校验必须走 createUser 或 changeUserPassword 流程
MongoDB 的密码策略（minLength、characterClassCount）只在两个操作中实时生效：
-
db.createUser()：新建用户时，服务端会立即校验密码是否满足当前pwdPolicy -
db.changeUserPassword()：修改已有用户密码时，同样触发完整校验
这意味着：如果你要批量验证一批密码是否合规，不能靠“模拟校验”，而得真实调用这两个命令（配合 try/catch 捕获错误）。例如用 Node.js + mongodb@5.0+ 驱动：
const { MongoClient } = require('mongodb');
const client = new MongoClient('mongodb://localhost:27017', { useUnifiedTopology: true });
async function validatePassword(pwd) {
try {
await client.db('admin').command({
createUser: {
user: 'test_validator',
pwd,
roles: [],
mechanisms: ['SCRAM-SHA-256']
}
});
await client.db('admin').command({ dropUser: 'test_validator' });
return { valid: true };
} catch (e) {
if (e.code === 13) return { valid: false, reason: 'auth failed' };
if (e.errmsg?.includes('Password does not meet')) {
return { valid: false, reason: e.errmsg };
}
throw e;
}
}
自定义脚本校验需严格复现 MongoDB 内部逻辑
如果坚持用外部脚本（如 Python/Shell）预检密码，必须手动实现 MongoDB 实际执行的两套判断：
-
minLength：直接比长度，但注意——驱动可能截断含&或=的密码（老版 Node.js 驱动已知问题） -
characterClassCount：统计字符类别数，MongoDB 默认只认这四类：lowercase（a–z）、uppercase（A–Z）、digit（0–9）、special（仅限!@#$%^&*()_+-=[]{}|;:,.?）；像€、中文、空格、制表符全不算
别信网上抄来的正则“全覆盖”方案——MongoDB 源码里对 special 字符的判定是硬编码白名单，不是 Unicode 类别匹配。
第三方插件基本不可靠，尤其对旧版本
目前没有主流社区插件能准确模拟 MongoDB 的密码策略引擎。原因很实在：
- 所有插件都假设
maxRepetitions、notUserName等字段有效，但它们在 v6.0/v7.0 中仍是// TODO: implement - 插件无法感知你实际启用的是
SCRAM-SHA-1还是SCRAM-SHA-256，而这会影响客户端是否自动转义特殊字符 - 插件跑在客户端，完全绕过服务端的连接字符串解析逻辑——而正是这个环节，让很多看似合规的密码在抵达校验前就被截断了
最稳妥的做法，永远是用 db.auth() 显式登录后调 changeUserPassword，哪怕只是临时改一个测试用户。否则你校验通过的密码，上线后可能根本连不上库。
