必须在用户所属认证数据库中执行db.dropUser()，否则静默失败；用户名区分大小写；不支持正则或数组；需目标库权限；删前务必用getSiblingDB()确认用户所在库。

必须在用户所属的认证数据库中执行 db.dropUser()，否则命令静默失败——看着像删了，其实什么都没发生。

执行前先确认用户在哪一个认证数据库

MongoDB 用户绑定的是「认证数据库」，不是全局对象。同一个用户名可能在 admin、myapp、logs 里各有一份，互不影响。

• 查所有用户（当前库）：db.getUsers({showCredentials: false})
• 查 admin 库里的用户：db.getSiblingDB("admin").getUsers({filter: {user: "app_reader"}})
• 查某个用户具体归属哪个库：看返回结果里的 db 字段，比如 {"user": "app_reader", "db": "admin"}
• 不确定时，别猜，花 10 秒查一次——比反复重试快得多

用 db.dropUser() 删除时必须 use 对目标库

这是最常踩的坑：连着 mongo shell，当前是 test 库，却想删 admin 里的用户，直接 db.dropUser("xxx") ——没报错，也不生效。

• 正确流程：use admin → db.dropUser("app_reader")
• 用户名区分大小写：db.dropUser("Reporter") ≠ db.dropUser("reporter")
• 返回 true 表示成功；返回 false 通常是因为用户不存在，或当前库不匹配
• 不支持通配符：db.dropUser(/legacy_.*/) 会报语法错误，只能传字符串

批量删用户得靠脚本，但要先预览

db.dropUser() 不支持数组或正则，想删一批前缀为 legacy_ 的用户，必须遍历 + 条件判断。

• 安全做法（先看再删）：

  db.getSiblingDB("admin").getUsers().forEach(u => {
    if (u.user.startsWith("legacy_")) printjson(u);
  });

• 确认无误后执行：

  db.getSiblingDB("admin").getUsers().forEach(u => {
    if (u.user.startsWith("legacy_")) db.getSiblingDB("admin").dropUser(u.user);
  });

• 注意：脚本里调用 dropUser 时，仍需明确指定目标库，不能省略 getSiblingDB("admin")

权限不足会明确报错，不是静默忽略

常见错误："not authorized on admin to execute command { dropUser: \"xxx\" }" ——说明当前账号没权限，不是命令写错了。

• 需要目标认证数据库上的 dropUser 权限，通常由 userAdmin 或 userAdminAnyDatabase 角色提供
• 普通应用账号一般没有该权限，必须用管理员账号（如 root）登录：mongo -u admin -p pwd --authenticationDatabase admin
• 如果用连接字符串，确保 authSource 参数指向认证库：mongodb://admin:pwd@host/admin?authSource=admin

最容易被忽略的不是语法，而是上下文错位：use 的库和用户实际所在的认证数据库不一致。删之前多一行 db.getSiblingDB("xxx").getUsers() 确认，比事后排查快一个数量级。