MongoDB只能撤销整个角色而非单项权限，需用db.revokeRolesFromUser传精确角色对象（含role和db字段），并查清权限来源与继承关系，撤销后需重建连接生效。
不能直接“撤销某项访问权限”，MongoDB 只能撤销整个角色。想收掉用户对某个库的写权限，就得把 readWrite 角色从那个库上撤掉；想留读权限，得另建一个只含 find 的自定义角色再补上去。
db.revokeRolesFromUser 要求 role 描述和授予权限时完全一致
常见错误是只传角色名，比如 db.revokeRolesFromUser("alice", ["readWrite"]) —— 这会静默失败。MongoDB 认为这不是一个合法的 role 描述。
- 必须传对象数组，每个对象包含
role和db字段，例如：[{ role: "readWrite", db: "reporting" }] -
db字段大小写、拼写、是否为admin库，必须和当初db.grantRolesToUser时一模一样 - 如果角色是自定义的且定义在
admin库，db字段仍填"admin"，不是它生效的目标库 - 多个角色要一起撤，就塞进同一个数组里，别分开调用
先查清权限来源，否则容易漏撤或误撤
用户能执行 dropCollection，未必是因为有 readWrite，更可能是继承了 dbOwner 或 clusterAdmin。不查清楚就动手，可能留下高危权限。
- 运行
db.getUser("alice", { showPrivileges: true })，重点看roles和inheritedRoles字段 - 注意同一角色在不同库上是独立授权，
{ role: "read", db: "logs" }和{ role: "read", db: "metrics" }是两条记录 - 如果是自定义角色，用
db.getRole("myRole", { showPrivileges: true })查它实际包含哪些操作 - 特别留意
inheritedRoles里有没有来自其他角色的间接权限，源头可能藏在另一个角色定义里
撤销后权限不立即生效？不是缓存问题，是连接/驱动没重载
MongoDB 权限变更写入 system.users 是原子且即时的，但客户端表现“延迟”，基本都是因为连接复用或驱动没重建会话。
- Shell 中新开一个
mongo连接，再跑db.runCommand({ connectionStatus: 1 }).authInfo.authenticatedUserRoles确认角色列表已更新 - Node.js 驱动不会自动刷新权限，必须重建
MongoClient实例，或重启应用 - 不要依赖旧连接做验证——它可能还带着撤销前的认证上下文
- 如果撤销后用户仍能操作，优先检查是否还有其他数据库上的同名角色没撤，比如
{ role: "readWrite", db: "admin" }漏掉了
真正麻烦的不是命令怎么写，而是权限拓扑本身：一个用户可能横跨多个库、持有多个角色、角色之间还有继承关系。没理清这张图就执行 revokeRolesFromUser，很容易收一半放一半，或者误砍掉 userAdminAnyDatabase 导致后续连不上 admin 库。
