MongoDB 不支持密码过期机制，expireAfterSeconds 和 expireAt 在 db.createUser() 中均为无效字段，被服务端静默丢弃；官方权限模型不包含凭证生命周期管理，需依赖外部脚本或网关实现账号时效控制。
MongoDB 本身不支持密码过期机制——expireAfterSeconds 和 expireAt 这两个字段在 db.createUser() 中根本不会被服务端识别或执行。
db.createUser() 中的 expireAfterSeconds 是无效字段
你可能在文档或旧版教程里看到类似写法：
db.createUser({
user: "test",
pwd: "123",
roles: ["readWrite"],
expireAfterSeconds: 3600
})
但实际运行后，该字段会被 MongoDB 完全忽略。服务端既不会校验、也不会触发任何密码过期逻辑。它不是保留字段，也不是未来计划支持的特性——它只是被静默丢弃的无效键值对。
-
expireAfterSeconds不是 MongoDB 用户对象的合法 schema 字段（官方文档中无此定义） - 所有驱动和 mongosh 版本（包括 7.0+）均不解析该字段
- 即使插入成功，
db.getUser("test")返回结果里也看不到这个字段
为什么官方不提供密码过期功能？
MongoDB 的权限模型设计上不包含“凭证生命周期管理”这一层。它的认证只发生在连接建立瞬间（SCRAM-SHA-256 挑战），之后完全依赖角色（role）授权，不持续验证密码有效性。
- 没有后台定时器扫描用户密码是否过期
- 没有登录拦截逻辑检查
customData.expiresAt或其他时间字段 - 即使你手动把
customData里塞进expiresAt，它也仅是元数据，不影响任何运行时行为
真正能落地的临时权限方案
想实现“外包账号自动失效”，必须绕过密码层面，从权限或访问链路入手：
- 用
db.createRole()定义最小权限角色，再通过脚本定期调用db.dropUser()清理过期用户（依赖customData.expiresAt+ cron +mongosh） - 在反向代理或 API 网关层做会话级控制（例如：Nginx + JWT + 外部鉴权服务），MongoDB 只负责最终数据读写
- 如果用 MongoDB Atlas，可借助其 Project-level Access Manager 配合 SSO 生命周期同步，但自建集群不适用
别在 createUser 里写 expireAfterSeconds ——它看起来像标准参数，实则是历史残留的误导性伪字段。真要管账号时效，得靠外部脚本或网关，MongoDB 自身没这根弦。
