不能，MongoDB的db.revokeRolesFromUser仅支持撤销完整角色，不支持细粒度撤回角色内单条权限；需通过创建新角色实现精准控制。
撤销 clusterAdmin 或 root 这类高危角色必须用 admin 库上下文
直接在普通数据库里执行 db.revokeRolesFromUser 会静默失败，甚至不报错。MongoDB 要求所有涉及集群级角色的操作（如 clusterAdmin、root、backup）必须在 admin 数据库中运行。
常见错误：在 test 库下执行 db.revokeRolesFromUser("alice", [{ role: "clusterAdmin", db: "admin" }]) —— 命令返回成功，但权限实际没撤掉。
- 先切换：运行
use admin - 再确认当前用户有
revokeRole权限：查db.runCommand({ connectionStatus: 1 }).authInfo.authenticatedUserRoles，确保含userAdminAnyDatabase或root - 角色结构必须完全匹配：比如
{ role: "clusterAdmin", db: "admin" }不能写成{ role: "clusterAdmin", db: "test" }，大小写和库名都必须一致
用户同时持有多个高危角色时，必须全部列进数组
一个用户可能被授予了 clusterAdmin、root 和 hostManager 三个角色，但你只撤销了前两个——剩下那个 hostManager 依然能执行 shutdownServer，风险仍在。
别依赖“部分撤销”，MongoDB 不做隐式合并或覆盖。它只按你传入的数组逐条移除。
- 一次性查清：用
db.getUser("alice", { showPrivileges: true })，重点看roles和inheritedRoles两块 - 全量传入：例如
db.revokeRolesFromUser("alice", [ { role: "clusterAdmin", db: "admin" }, { role: "root", db: "admin" } ]) - 注意
inheritedRoles可能来自其他自定义角色，得顺藤摸瓜查db.getRole("xxx", { showPrivileges: true })
撤销后权限未立即失效？不是缓存问题，是连接没重连
MongoDB 的权限变更写入 system.users 是原子且即时的，但客户端不会自动感知。Node.js 驱动、Python PyMongo、甚至 mongo shell 都会复用旧连接，导致“撤了还管用”的假象。
- 验证是否真撤掉：新开一个
mongo -u alice -p --authenticationDatabase mydb连接，再试db.runCommand({ listShards: 1 })看是否报not authorized - 应用层必须重建连接池，不能只 reload config 或发信号
- Shell 中不要用
db.auth()切换用户，而要彻底退出重连
误撤了 userAdminAnyDatabase 怎么办？别重启，立刻补救
只要 MongoDB 进程还在运行，system.users 里的用户数据就完好。你还能用另一个仍有 userAdminAnyDatabase 权限的账号（比如另一个管理员）登录 admin 库，立刻给误删者加回角色。
最怕的是：自己是唯一管理员，又把自己权限撤光了，还断开了连接——这时只能靠配置文件临时关闭 security.authorization 启动实例，再进去修复。
- 补救命令示例：
db.grantRolesToUser("alice", [{ role: "userAdminAnyDatabase", db: "admin" }]) - 操作前务必确认目标用户当前还有哪些角色，避免重复授予或遗漏
- 生产环境建议始终保留至少两个具备
userAdminAnyDatabase的账号，分散风险
