MongoDB无法禁用特定聚合操作符（如$group、$sort），因其权限系统不支持该粒度控制；唯一有效防护是通过角色级maxTimeMS和maxMemoryUsageMB设限熔断，防止资源耗尽。
MongoDB 无法禁用特定聚合操作符（如 $group、$sort）
MongoDB 的权限系统不支持“禁止某个聚合阶段”的粒度控制。$group、$sort、$lookup 等操作符本身不是独立权限项，它们随 aggregate 动作一并授予——只要用户有 aggregate 权限，就能在管道中自由使用任意合法阶段。
试图通过移除某动作来禁用 $group 会失败，因为权限模型里根本没有 group 这个 action；官方文档明确列出的聚合相关 action 只有 aggregate 和 collStats 等少数几个。
- 内置角色如
read或readWrite都隐含aggregate，无法拆分 - 自定义角色中
privileges.actions列表里填"group"或"$group"会被忽略或报错 - 没有配置项、failpoint 或 setParameter 能拦截特定 stage 的执行
真正有效的替代方案：用 maxTimeMS + maxMemoryUsageMB 熔断高开销聚合
你不能禁止 $group，但可以让它跑不到完成——这是线上最可靠、最轻量的防御方式。两个参数必须绑定到自定义角色，且需在 admin 数据库中创建：
-
maxTimeMS：设为3000（3 秒），超时立即中断，避免连接堆积和锁等待 -
maxMemoryUsageMB（4.4+）：设为100，一旦聚合内存估算超限，直接报错Exceeded memory limit for $group, but didn't allow external sort - 二者必须配合使用：仅设
maxTimeMS无法防住短时爆内存；仅设maxMemoryUsageMB对未命中索引的$lookup或无$match前置过滤的管道无效
示例角色定义：
db.createRole({
role: "safeAggregateRole",
privileges: [{
resource: { db: "myapp", collection: "" },
actions: ["find", "aggregate"]
}],
roles: [],
// 注意：以下字段必须写在角色定义里，不是 runCommand 传参
"authenticationRestrictions": [{
"clientSource": ["127.0.0.1"],
"serverAddress": ["127.0.0.1"]
}],
"limits": {
"maxTimeMS": 3000,
"maxMemoryUsageMB": 100
}
})
为什么不能靠禁用 aggregate 权限来防提权
禁用 aggregate 表面安全，实则破坏业务且易被绕过：
- 运维脚本、监控统计（如
db.orders.aggregate([{$group:{_id:null,count:{$sum:1}}}])）会全部失效 - 应用层可能改用
mapReduce，它不受 same-role 限制，且更耗资源 - 用户拉全量数据到本地再 group/sort，反而加剧网络与应用内存压力
- 权限收紧后，开发调试、归档迁移等合法场景也得反复申请临时权限
真正的最小权限不是“不让做”，而是“能做，但做不过阈值”——这正是 maxTimeMS 和 maxMemoryUsageMB 的设计意图。
容易被忽略的关键点
这两个限制只在角色级生效，且极易配错：
- 必须在
admin库执行db.createRole()，不能在业务库；否则limits字段被静默忽略 - 用户创建时
roles数组必须引用该角色全名 + 作用库，例如{role:"safeAggregateRole", db:"admin"} - 驱动连接池会缓存权限信息，修改角色后需重启应用或等待连接重建，否则旧连接仍按旧限运行
-
maxMemoryUsageMB对$unwind后爆炸式膨胀的数据无效——它只管“当前阶段输入数据量 × 估算系数”，不预测下游膨胀
