1. MongoDB安全性问题概述
MongoDB是一种流行的文档型数据库，但是在一些早期的版本中存在一些安全性问题。在过去的几年中，已经发现了多个漏洞和错误配置，这些问题使得MongoDB的数据库存储在互联网上成为了外部黑客攻击目标。
为了保护MongoDB数据库，你需要注意一些被广泛认为是必需的安全设置，特别是关于密码设置的方面，本文将详细介绍如何在MongoDB中设置密码。
2. MongoDB密码设置
使用密码是保护MongoDB数据库的常规方法。MongoDB在4.0版本之后，推出了密码认证机制。所以在MongoDB 4.0及以上版本的实例当中，默认情况下是启用了访问认证的，从而保障了MongoDB数据库的安全。
2.1. 用户创建
使用MongoDB数据库，首先需要创建一个用户。MongoDB数据管理员可以使用以下命令创建一个用户：
// 进入mongo shell
mongo
// 切换数据库
use admin
// 创建一个管理员用户
db.createUser(
{
user: "admin",
pwd: "admin123",
roles: [ { role: "root", db: "admin" } ]
}
)
以上代码将创建一个名为“admin”的用户，该用户的密码为“admin123”。
在生产环境中，应创建多个用户，每个用户都有一个自己的用户名和密码，必须赋予最小特权原则，即赋予所需的最小权限来管理数据。尽可能地限制用户能够做什么，防止用户能够使用未经授权的操作，您可能需要与他们进行协商，以便能够使用特定的 API。
2.2. 用户认证
创建的用户需要通过密码认证来连接到MongoDB实例。
以下是如何在mongo shell中进行身份验证的方法：
// 进入mongo shell
mongo
// 连接到MongoDB实例
use admin
// 身份验证
db.auth("admin", "admin123");
认证成功之后，MongoDB会显示“1”作为一个结果：
1
这意味着您已经成功验证管理员用户。
2.3. 数据库访问控制
在生产环境中，强烈建议使用基于角色的所有权对象 (Role-Based Access Control, RBAC)来控制MongoDB的访问。
创建一个新的角色的示例（也可应用现有MongoDB的角色）：
// 连接到MongoDB实例
use admin
// 创建一个新的数据库用户角色
db.createRole(
{
role: "webapp",
privileges: [
{ resource: { db: "users", collection: "" }, actions: [ "find", "insert", "remove" ] },
{ resource: { db: "products", collection: "" }, actions: [ "find" ] }
],
roles: []
}
)
这个用户角色将只具有对“users”数据库的增加、删除、查找的权利，以及对“products”数据库的查找权利。
现在我们可以把这个角色授权给一个具体用户：
// 连接到MongoDB实例
use admin
// 创建一个新的webapp用户
db.createUser(
{
user: "webapp",
pwd: "pass123",
roles: [ { role: "webapp", db: "users" } ]
}
)
请记住，你需要明确指定该角色的作用域（即具体数据库名称）。
3. MongoDB密码设置最佳实践
3.1. 使用SSL
使用SSL/TLS是保护MongoDB数据库的一个很好的方法。SSL/TLS协议提供加密和认证，以保护MongoDB实例与客户端之间的通信。
3.2. 扫描过滤器
扫描过滤器是一个开源工具，用于检查MongoDB实例是否正确配置，并根据安全操作和性能提供指南。扫描过滤器带有许多检查项，包括密码策略、访问控制、日志、网络安全、认证和授权等。在扫描过滤器中启用密码策略检查项。
3.3. 隐藏MongoDB实例
隐藏MongoDB实例是另一个方法，可以保护MongoDB数据库。这可以通过修改MongoDB配置文件来完成。在配置文件中，可以通过“net.bindIp”配置项限制MongoDB实例只监听来自特定IP地址的请求。
# 只允许来自本机 IP 的请求
net:
bindIp: 127.0.0.1
4. 总结
在MongoDB中进行完善的密码设置是保护数据库不受黑客攻击的一个关键方法。在配置密码时，请使用最佳实践来最大限度地提高安全性，并使用角色来控制访问权限。
总之，对于MongoDB数据库安全问题，必须重视并采取适当的安全措施，从而确保MongoDB中的数据安全。