最直接有效的租户隔离方式是为每个租户分配独立bucketName，因默认fs bucket共用fs.files和fs.chunks集合，仅靠metadata.tenantId过滤存在直连泄露、查询漏条件、全局实例复用等风险，必须动态构造租户专属GridFSBucket并授予对应集合级权限。
最直接有效的租户隔离方式是为每个租户分配独立的 bucketName，而不是依赖元数据字段（如 metadata.tenantId）做逻辑过滤——后者一旦漏加条件、索引缺失或被直连绕过，就会跨租户泄露数据。
为什么不能复用默认 fs bucket？
默认 bucketName 是 fs，所有租户共用 fs.files 和 fs.chunks 两个集合。这本质上是单集合多租户模型，完全靠应用层写对 metadata.tenantId 来隔离。问题在于：
- MongoDB 不会在服务端校验这个字段是否存在或匹配当前租户
- 运维人员或 DBA 直连时可任意查询
fs.files，无权限拦截 - 聚合管道、备份脚本、CLI 工具等非业务路径极易漏过滤
-
GridFSBucket实例若全局复用，bucketName就固定死了，无法按租户切换
如何动态创建租户专属 GridFSBucket 实例？
必须在每次请求上下文中，根据解析出的租户标识（如 JWT 中的 tenantId）构造新实例，且严格校验命名合法性：
-
bucketName只能含小写字母、数字、下划线、短横线，且不能以数字开头 - 建议统一前缀，如
tenant_acme_001，便于权限控制和监控识别 - 对原始
tenantId做白名单替换：例如tenantId.replace(/[^a-z0-9_]/g, '_') - 不要缓存到模块顶层；若需性能优化，可用
Map缓存已规范化后的bucketName→bucket映射，但要设 TTL 或定期清理
示例（Node.js）：
const bucket = new mongodb.GridFSBucket(db, {
bucketName: `tenant_${tenantId.replace(/[^a-z0-9_]/g, '_')}`
});
权限必须落到集合级别，不能只靠数据库角色
即使每个租户有独立 bucketName，如果账号权限太宽，仍可能越界访问。关键点：
- 账号必须在目标租户库中创建，例如租户库名是
acme_001，就先use acme_001再执行createUser -
roles.db字段值必须与库名完全一致，不能写成admin或其他库 - 只授予该租户
bucketName对应的两个集合权限：tenant_acme_001.files和tenant_acme_001.chunks - 禁用
readWrite数据库角色——它允许读写该库下所有集合，包括未来新增的 - 连接串必须显式指定
database且与authSource一致，例如：mongodb://acme_user:xxx@host:27017/acme_001?authSource=acme_001
删除租户时如何安全清理 GridFS 数据？
租户下线不是删个用户就行，files 和 chunks 集合会残留，必须主动清理：
- 不能只删
files集合文档——chunks会变成孤儿数据，浪费空间且影响备份速度 - 正确做法是：先删
tenant_xxx.files和tenant_xxx.chunks两个集合（db.dropCollection()） - 再删对应数据库（如果租户独占库），或删用户（
db.dropUser()） - 自动化脚本里务必加确认机制，比如检查
tenant_xxx.files.countDocuments()是否为 0 再执行 drop
最容易被忽略的是：GridFS 的集合名由 bucketName 决定，但集合本身仍是普通集合，不自动绑定生命周期——租户删除逻辑里若漏掉这两步，数据就永远留在磁盘上了。
