MongoDB X.509证书身份映射需显式将证书subject原样作为用户名写入$external数据库，且mongod必须启用TLS并正确配置--tlsCAFile指向根CA PEM文件，否则连接将因映射失败或证书不信任而拒绝。
MongoDB 的 X.509 证书身份映射不是自动发生的，必须显式将证书 subject（主题 DN）作为用户写入 $external 数据库，否则连接会失败或被拒绝。
证书 subject 必须精确匹配 $external 用户名
客户端证书的 subject 字段（如 CN=client1,OU=dev,O=myorg）就是 MongoDB 中的用户名。这个字符串必须原样作为用户名添加到 $external 数据库中，不能截断、不能大小写转换、不能加空格。
- 使用
db.getSiblingDB("$external").createUser()创建用户时，user字段值必须与证书 subject 完全一致 - 如果证书 subject 是
CN=john.doe,OU=app,O=acme，则用户名就是该字符串，不是john.doe或acme\john.doe - subject 中的逗号、等号、空格都参与匹配，建议用
openssl x509 -in client.crt -text -noout | grep Subject确认原始格式
mongod 启动时必须启用 TLS 并指定 CA
仅配置用户还不够，服务端必须能验证证书签名链。否则即使 subject 正确，也会因证书不被信任而拒绝连接。
-
--tlsMode requireTLS是强制前提，禁用非加密连接 -
--tlsCAFile必须指向签发客户端证书的根 CA 的 PEM 文件（不是中间 CA，也不是服务器证书） - 如果用了中间 CA，需把中间 CA 和根 CA 拼成一个 PEM 文件再传给
--tlsCAFile - 忽略
--tlsAllowInvalidCertificates true：它只绕过证书有效性检查，但不解决 subject 映射问题，且会跳过 X.509 身份验证本身
常见映射失败现象和排查点
连接时提示 Authentication failed 或直接断连，往往不是密码错，而是映射环节出了问题。
- 错误日志出现
Unable to authenticate using x.509 certificate：说明证书可解析但没找到对应用户 - 日志里有
Subject not found in $external类提示：确认 subject 字符串是否漏掉DC=或多写了L=等字段 - 用
mongo --ssl --sslPEMKeyFile client.pem --sslCAFile ca.pem --eval "db.runCommand({connectionStatus: 1})"测试连接后，检查返回中的authInfo.users是否为空 - 证书过期、keyUsage 缺
digitalSignature、extendedKeyUsage 缺clientAuth都会导致 mongod 根本不尝试映射，直接拒连
真正容易被忽略的是：subject 字符串里的字段顺序（如 O=acme,OU=dev,CN=client1）和证书实际编码顺序必须一致；OpenSSL 输出的 subject 可能按字母重排，但证书二进制里是固定顺序，务必以 openssl x509 -in client.crt -subject -noout 命令输出为准。
