dbAdmin角色不能读写数据，因为它仅管理数据库结构（如创建集合、删除索引），不包含find、insert等数据操作权限；需组合readWrite等角色才能实现读写。
dbAdmin角色为什么不能读写数据
因为dbAdmin角色**只管数据库结构管理，不管数据访问**——它能创建集合、删索引、修改分片配置，但默认连find()或insert()都不被允许。
dbAdmin实际能做什么、不能做什么
这是最容易混淆的点：名字带“Admin”，容易误以为是“数据库管理员”，其实它更接近“DBA中的运维侧”。官方定义明确排除了数据操作权限。
- ✅ 能执行：
createCollection、dropDatabase、reIndex、collMod - ❌ 不能执行：
find、insert、update、delete、count - ⚠️ 注意：
db.serverStatus()这类集群级命令也不行，哪怕在admin库下运行，也会报not authorized on admin to execute command
怎么让一个用户既能管结构又能读写数据
必须组合角色，不能只靠dbAdmin。MongoDB不支持“叠加继承”，得显式授予多个角色。
- 最常用组合：
["dbAdmin", "readWrite"]（同一数据库下） - 如果还要跨库查系统表或看慢日志，加
"clusterMonitor" - 创建示例：
use myapp; db.createUser({ user: "appadmin", pwd: "xxx", roles: ["dbAdmin", "readWrite"] }); - ⚠️ 坑：别在
admin库下给用户授dbAdmin，指望它管其他库——dbAdmin只对当前认证库生效；要管所有库，得用dbAdminAnyDatabase（但需authSource=admin）
为什么连db.stats()都可能失败
看起来只是“查个统计”，但它底层会触发对集合元数据和存储引擎状态的访问，部分场景被划归到dbAdmin范围，但不是全部。尤其在WiredTiger引擎+启用journal时，db.stats()可能隐式调用需要read权限的操作。
- 现象：
db.stats()报not authorized，但db.getCollectionNames()却成功 - 原因：前者涉及存储层指标，后者只是目录列表
- 解法：补
"read"角色，或直接用"readWrite"（它已包含read）
真正麻烦的不是权限配不配得上，而是错误提示太笼统——not authorized背后可能是角色缺失、authSource错位、甚至磁盘满导致的伪权限错误。先确认db.runCommand({ connectionStatus: 1 })返回的authInfo里有没有你预期的角色，再往下查。
