仅授予 find 权限并禁用 listCollections 和 collStats，可阻止 mongodump 等工具自动发现集合及 GUI 工具加载元数据，但无法杜绝已知集合名下的全量导出；需配合应用层限流、代理过滤和审计日志实现强管控。
只给 find 权限，不给 listCollections 和 collStats
MongoDB 没有“禁止导出”这个独立权限，所谓“不能导出”，本质是阻止工具（如 mongodump、Studio 3T、Mongo Shell 的 db.collection.find().toArray() 批量拉取）获取集合元信息或全量扫描。关键不是拦住 find，而是卡住它依赖的底层能力：
-
find本身必须保留——否则用户连查询都做不了 - 但
listCollections必须禁用：mongodump启动时默认先查有哪些集合，没这权限直接报错not authorized on admin to execute command { listCollections: 1, ... } -
collStats也要禁用：某些 GUI 工具靠它判断集合大小、是否可读，缺失时可能拒绝连接或隐藏集合 - 避免授予
dbAdmin或readWrite角色——它们隐含上述权限
用自定义角色精准控制，别依赖内置角色
内置的 read 角色看似合适，但它在 MongoDB 4.4+ 默认包含 listCollections（尤其在 admin 数据库上），实际仍允许 mongodump --db mydb。正确做法是手动建最小权限角色：
use admin
db.createRole({
role: "queryOnly",
privileges: [{
resource: { database: "mydb", collection: "" },
actions: ["find"]
}, {
resource: { database: "", collection: "" },
actions: ["listDatabases"] // 可选，让 user 能看到库名，但不暴露集合
}],
roles: []
})
- 注意
collection: ""表示对数据库内所有集合生效；若只想限某张表，写死集合名如collection: "orders" - 不要给
resource: { database: "mydb", collection: "system.*" }——system.views等可能被工具探测 - 创建用户时绑定该角色：
db.createUser({user:"ro_user", pwd:"...", roles:["queryOnly"]})
客户端工具行为差异大，得挨个验证
“禁止导出”效果取决于工具实现方式：
-
mongodump --db mydb --collection users：如果明确指定集合名，且用户有该集合find权限，仍能成功导出——因为绕过了listCollections。这是设计使然，无法彻底拦截 - Studio 3T / Compass：多数会因缺
collStats卡在加载界面，或只显示空集合列表，但手动输入集合名后仍可查数据 - Mongo Shell：
db.users.find().toArray()仍可执行，只是无法用show collections查集合名 - 应用代码（如 Node.js 驱动）：只要逻辑里不调
listCollections，一切正常
真正防批量导出，得靠网络和代理层
仅靠 MongoDB 权限模型，无法 100% 阻止已知集合名下的全量拉取。如果业务真有强合规要求（比如 GDPR 禁止未授权导出）：
- 在应用层加查询限制：用
maxTimeMS+limit拦截无条件全表扫 - 用 Mongos 或反向代理（如 nginx + Lua）识别并拒绝
find请求中{}无 filter 的场景 - 审计日志开全：
db.setLogLevel(1, "accessControl")，配合auditLog.destination: file监控异常高频find - 生产环境别把数据库直连暴露给终端用户——这是最常被忽略的一环
