MongoDB 是一种非常流行的 NoSQL 数据库，它的使用越来越广泛。与传统关系数据库不同的是，MongoDB 提供了动态的 schema 和 JSON 格式的数据存储方式，还具有高可用性、可扩展性等特点。但是，如何保证 MongoDB 的安全性呢？本文将介绍一些 MongoDB 数据访问控制和安全性的最佳实践。
1. 访问控制
MongoDB 中的建议做法是使用基于角色的访问控制 (Role-Based Access Control, RBAC)，并将访问控制限制在 MongoDB 实例上。在 MongoDB 中，可以通过创建用户和角色实现访问控制。
1.1 创建用户和角色
使用 MongoDB 自带的 mongo shell 命令行工具可以创建和管理用户和角色。以下是创建管理员用户和具有读写权限的用户的示例。
1.1.1 创建管理员用户
use admin
db.createUser({
user: "admin",
pwd: "password",
roles: [
{ role: "root", db: "admin" }
]
})上述示例中，创建了一个名为 admin 的用户，密码为 password ，并将其赋予了一个名为 root 的角色，这是一个超级管理员角色，可以在系统中执行任何操作。需要注意的是，root 角色应该只授予必要的人员，不应该对所有人开放。
1.1.2 创建具有读写权限的用户
use mydatabase
db.createUser({
user: "myuser",
pwd: "mypassword",
roles: [
{ role: "readWrite", db: "mydatabase" }
]
})上述示例中，创建了一个名为 myuser 的具有读写权限的用户，密码为 mypassword ，并将其赋予了一个名为 readWrite 的角色，这个角色只有读写权限，不能创建、删除或修改角色或用户等敏感操作。
需要注意的是，可能会涉及多个数据库，因此需要为每个数据库分别创建用户和角色。
1.2 启用身份验证
可以通过使用 --auth 选项启用身份验证，该选项在启动 mongod 进程时指定。在使用身份验证的情况下，客户端在连接到 MongoDB 时必须提供用户名和密码。
另外，需要注意的是 MongoDB 支持 x.509 身份验证和 LDAP 身份验证等高级身份验证方式，可以根据实际情况进行配置。
2. 安全性
在 MongoDB 中，安全性的保护主要包括保护数据库和服务器以及保护存储的数据。
2.1 保护数据库和服务器
MongoDB 服务器的安全性是关键的，因为数据暴露在公共网络上的风险很高。以下是 MongoDB 服务器保护的最佳实践。
2.1.1 使用 TLS/SSL 加密
使用 TLS/SSL 加密可以保护 MongoDB 数据库通信的安全。在生产环境中，应使用不同于默认的自签名证书的受信任证书。
2.1.2 定期备份数据
定期备份 MongoDB 数据库是很重要的，因为数据丢失对业务影响非常大。备份数据可以使用 MongoDB 自带的 mongodump 工具。
2.1.3 使用防火墙
MongoDB 服务器应该只打开必要的端口，所有其他的端口都关闭，防止外部访问和攻击。建议使用 Linux 或 Windows 的防火墙来阻止非授权访问。
2.2 保护存储的数据
MongoDB 数据库是存储数据的地方，因此保护存储的数据也是很重要的。以下是 MongoDB 数据库保护的最佳实践。
2.2.1 对敏感数据使用加密
有些数据可能是敏感的或机密的，例如密码或个人信息。可以对这些数据使用加密，以防止恶意用户或黑客访问。
2.2.2 限制访问权限
使用基于角色的访问控制可以限制对 MongoDB 数据库的访问权限。可以对每个用户分配适当的角色，以便他们只能访问他们需要的数据。
2.3 示例代码
以下是一个示例代码，演示如何在 Node.js 应用程序中使用 MongoDB 驱动程序创建和读取数据。
2.3.1 安装 MongoDB 驱动程序
npm install mongodb --save
2.3.2 连接到 MongoDB 数据库
-- -------------------- ---- -------
----- ----------- - -------------------------------
----- --- - ---------------------------------------
----- ------ - --- -----------------
-------------------- -- -
-- ----- ----- ----
---------------------- -- ------- ----------
----- -- - ------------------------
---------------
---上述代码中，MongoClient 对象用于连接到 MongoDB 数据库，每次调用 connect() 方法后，都会返回一个代表数据库连接的客户端对象，可以使用此客户端对象对数据库进行操作。
2.3.3 创建数据
-- -------------------- ---- -------
----- ----------- - -------------------------------
----- --- - ---------------------------------------
----- ------ - --- -----------------
-------------------- -- -
-- ----- ----- ----
---------------------- -- ------- ----------
----- -- - ------------------------
----- ----- - -----------------------
----- ---- - - ----- ------- ---- --- ------ ------------------ --
--------------------- ----- ------- -- -
-- ----- ----- ----
----------------- -----------
---------------
---
---上述代码中，我们创建了一个名为 users 的集合并插入了一条新的用户数据。
2.3.4 读取数据
-- -------------------- ---- -------
----- ----------- - -------------------------------
----- --- - ---------------------------------------
----- ------ - --- -----------------
-------------------- -- -
-- ----- ----- ----
---------------------- -- ------- ----------
----- -- - ------------------------
----- ----- - -----------------------
-------------------------- ------- -- -
-- ----- ----- ----
--------------------
---------------
---
---上述代码中，我们从 MongoDB 数据库中读取了所有用户的数据，并通过 console.log() 打印输出到控制台。
结论
以上是 MongoDB 数据访问控制和安全性的最佳实践。通过使用 MongoDB 的访问控制和安全性，您可以确保数据的保密性和完整性。通过本文所述的示例代码，您可以更好地理解如何在 Node.js 应用程序中使用 MongoDB。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f0fdd26fbf96019734ee70