MongoDB Windows服务默认以LocalSystem运行，但若dbPath或log路径受NTFS权限限制（如D:\mongo\data\db仅当前用户可访问），服务将因权限不足启动失败；须用管理员CMD执行sc config MongoDB obj= ".\用户名" password= "密码"修改运行账号，并确保目录权限匹配。
Windows服务安装时默认以LocalSystem运行，不等于有数据库访问权限
很多人以为把MongoDB注册成Windows服务后，只要配置了authorization: enabled，再创建用户就能直接用——其实漏掉关键一环：服务进程本身是以哪个系统账号启动的，决定了它能否读写数据目录、日志路径，甚至能否加载配置文件中的路径。默认情况下，mongod --install注册的服务使用LocalSystem账户，它对本地磁盘有高权限，但若你把dbPath或path（日志）设在非系统盘、受NTFS权限限制的目录（比如D:\mongo\data\db），而该目录只允许当前登录用户访问，服务就会启动失败，报错类似：Failed to start service: The service did not respond to the start or control request in a timely fashion.
如何指定服务运行账号：用sc命令修改，不是安装时选
Windows服务注册后不能通过图形界面直接改“登录身份”，必须用sc命令。注意两点：一是必须用管理员权限运行cmd；二是修改前服务必须已停止。
- 先查当前服务登录账号：
sc qc MongoDB（假设服务名为MongoDB），看OBJECT_NAME字段 - 停止服务：
net stop MongoDB - 把服务改为以当前用户运行（推荐测试用）：
sc config MongoDB obj= ".\你的用户名" password= "你的密码"（注意obj=后有空格，且用户名含域名时写DOMAIN\user） - 若想用专用低权限账号（生产推荐），需先在Windows中新建一个标准用户（无管理员组），再赋权：
icacls "D:\mongo\data" /grant "新用户名:(OI)(CI)F"，然后同上用sc config指定
服务账号权限不足的典型现象和验证方法
服务能启动但连不上、日志为空、mongosh连接报connection refused，不一定全是端口或配置问题——很可能是服务根本没起来，或者起来后立刻崩溃退出。最直接的验证方式是：
- 打开
事件查看器 → Windows 日志 → 系统，筛选来源为Service Control Manager，找MongoDB相关的错误事件 - 手动用相同参数前台启动
mongod：mongod -f "C:\Program Files\MongoDB\Server\6.0\bin\mongod.cfg"，看控制台是否报Permission denied或Unable to create/open lock file - 检查
mongod.cfg里systemLog.path指向的日志文件是否存在、可写；storage.dbPath目录下是否有mongod.lock生成
配置文件里authorization和service账号是两件事，别混
security.authorization: enabled只控制客户端连接后的鉴权流程，和Windows服务以谁的身份运行完全无关。哪怕你用Administrator账号跑服务，只要没在admin库创建用户、没重启服务，mongosh照样能连上但执行show dbs会报unauthorized。反过来，哪怕服务用最低权限账号运行，只要它能读写数据目录、加载配置，且配置了authorization: enabled，认证机制就生效。最容易忽略的是：改完sc config后忘了net start MongoDB，或者改了配置文件但没重启服务，导致所有权限设置都白配。
