MongoDB 本身不处理 JWT，JWT 鉴权必须由网关（如 Spring Cloud Gateway 或 FastAPI）完成；网关验证合法后透传身份信息，下游服务再查 MongoDB 做细粒度权限控制。
直接上结论：MongoDB 本身不处理 JWT，JWT 鉴权必须落在网关（如 Spring Cloud Gateway 或 FastAPI）层，MongoDB 只负责存储用户凭证或权限元数据；网关验证 JWT 合法性后，才决定是否转发请求、携带哪些用户身份信息给下游服务——而下游服务再用这些信息查 MongoDB 做细粒度鉴权。
为什么不能让 MongoDB 直接校验 JWT
MongoDB 是数据库，不是认证服务。它没有内置的 JWT 解析、签名验证、密钥管理能力。试图在查询语句里做 jwt.verify() 或用聚合管道解析 token，既不可靠（无法防篡改）、也不安全（密钥暴露风险）、更不合规（违反职责分离原则）。
常见错误现象包括：
- 在应用层把原始
Authorizationheader 直传给 MongoDB 查询，当作字段过滤条件（如{ token: "xxx" }），等于把鉴权逻辑下放到 DB 层，完全绕过时效性、签名、scope 校验 - 用 MongoDB 的 JavaScript 引擎（
$where）尝试解析 JWT，结果因 Base64URL 解码失败、无 crypto 支持而报错ReferenceError: atob is not defined - 误以为配置了 MongoDB 的
x509认证就能替代 JWT，其实那是 TLS 客户端证书，和业务级用户身份无关
Spring Cloud Gateway + MongoDB 的典型协作方式
网关只做两件事：JWT 校验 + 身份透传；MongoDB 存的是「谁有啥权限」，不是「token 是否合法」。
使用场景示例：用户访问 /api/orders，网关拦截后：
- 从
Authorizationheader 提取 token，调用Jwts.parser().setSigningKey(...)验签并解析出userId和roles - 若校验失败，直接返回
401 UNAUTHORIZED，不触碰 MongoDB - 若成功，在转发请求头中添加自定义字段，如
X-User-Id: 123、X-Roles: ["USER","PREMIUM"] - 下游订单服务收到请求后，用
X-User-Id查 MongoDB 的users或permissions集合，判断该用户能否查看他人订单
关键参数差异注意：Jwts.parser().setSigningKey("secret") 必须与认证服务签发 token 时用的密钥完全一致；若用 RSA，网关需加载公钥（getPublicKey()），而非私钥。
FastAPI 网关中如何安全衔接 MongoDB 权限查询
如果你用 FastAPI 做轻量网关（或 BFF 层），流程更透明，但也更容易踩坑：
- 不要在依赖项（
Depends）里直接查 MongoDB 判断 token 有效性——这仍是重复校验，且拖慢网关吞吐 - 正确做法是用
HTTPBearer提取 token，交由jwt.decode()验签；仅当需要角色/权限扩展信息（如动态菜单、数据行级过滤条件）时，才异步查 MongoDB - 示例片段中易错点：
jwt.decode(token, key, algorithms=["HS256"])若漏写algorithms参数，Python 3.12+ 会抛InvalidAlgorithmError；密钥若从环境变量读取，记得.strip()，否则空格导致验签失败 - MongoDB 连接应复用
AsyncIOMotorClient实例，避免每个请求新建连接；权限集合建议建复合索引：db.permissions.create_index([("user_id", 1), ("resource", 1), ("action", 1)])
容易被忽略的密钥与有效期协同问题
JWT 密钥和 MongoDB 中存储的权限数据，生命周期必须对齐。比如：
- 网关用的签名密钥轮换后，旧 token 还没过期，但 MongoDB 里对应用户的
roles字段已更新——此时网关放行，下游服务查 MongoDB 得到新权限，行为一致；但如果网关缓存了旧的解析结果（如未设verify_exp=True），就可能跳过exp检查，让过期 token 继续生效 - 刷新令牌（refresh token）通常存在 MongoDB 的
refresh_tokens集合里，带expiresAt字段；但网关从不查这个集合——它只管 access token。真正要查 MongoDB 的，是认证服务自己提供的/refresh接口
最常被跳过的一步：网关日志里记录 user_id 和 path 没问题，但没记录 iat（签发时间）和 exp（过期时间）。一旦出现越权访问，你无法判断是 token 被盗用，还是 MongoDB 权限数据延迟同步导致的短暂不一致。
