MongoDB默认端口号是27017；旧版（≤3.2）还默认开启28017 HTTP控制台，无认证、无TLS，存在严重未授权访问风险，须禁用httpinterface/rest并配置bind_ip与authorization强化安全。

MongoDB 默认安装后，27017 端口裸奔 + 28017 HTTP 控制台默认开启，等于把数据库大门敞开——必须立刻禁用这两个入口，否则未授权访问风险极高。

确认是否还在监听 28017 HTTP 控制台

旧版 MongoDB（≤3.2）默认启用 httpinterface 和 rest，监听 28017（不是 27018，注意端口号差异）。这个接口无认证、无 TLS、无访问控制，curl 一下就能看到数据库结构甚至文档内容。

执行以下命令验证：

• sudo ss -tlnp | grep ':28017' —— 若有输出，说明 HTTP 控制台仍在运行
• curl -s http://localhost:28017/ | head -n 3 —— 若返回 HTML 或 JSON 数据，而非 Connection refused，即已暴露
• 检查配置文件中是否残留 http.enabled: true、rest: true 或启动参数含 --httpinterface / --rest

彻底禁用 HTTP/REST 接口的三步操作

禁用本身不难，但容易漏掉隐式启用点。MongoDB 4.0+ 已完全移除该功能，但旧配置若没清理，会误导判断。

• 编辑主配置文件（如 /etc/mongod.conf），在 net 段下确保没有 http.enabled 字段；若有，删掉或设为 false
• 检查 systemd 启动项：sudo systemctl cat mongod，确认 ExecStart 行不含 --httpinterface 或 --rest
• 容器部署（Docker/K8s）需检查 args 或 command 中是否硬编码了 --rest；即使 MongoDB 版本 ≥4.2，也建议一并删除，避免配置污染

改完重启：sudo systemctl restart mongod，再跑一遍上面的 ss 和 curl 验证。

修改默认端口 27017 的实操要点

改端口不能只改一个地方，否则服务起不来或连不上。重点是配置文件中的 port 和客户端连接时的实际端口要一致。

• 在 /etc/mongod.conf 的 net 段下修改：port: 27018（或其他非知名端口，避开 27017、28017、27019 等常见值）
• 改完必须重启服务：sudo systemctl restart mongod
• 验证监听：sudo ss -tlnp | grep ':27018'（替换为你设的端口）
• 客户端连接时，显式指定新端口：mongo --port 27018 或连接字符串中写 mongodb://localhost:27018
• 注意：仅改端口不解决未授权问题，它只是增加一层基础障碍；必须配合 bind_ip 和认证一起用

最容易被忽略的两个加固动作

很多人禁了 HTTP、改了端口就以为安全了，其实最关键的两处常被跳过：

• bind_ip 必须设为内网 IP 或 127.0.0.1，绝不能留空或写 0.0.0.0 —— 否则改端口也没用，照样被外网扫到
• 认证必须真生效：在 admin 库中创建用户后，配置里打开 security.authorization: enabled，且确认 admin.system.users 里已有至少一个用户；否则 --auth 参数形同虚设

这两步不做，前面所有操作都只是掩耳盗铃。