备份恢复与安全

# 全库备份
mongodump --uri="mongodb://user:pass@localhost:27017/?authSource=admin" \
  --out=/backup/$(date +%F)
 
# 单个库
mongodump --uri="..." --db=community --out=/backup/community
 
# 单个集合，且只备份部分数据
mongodump --uri="..." --db=community --collection=posts \
  --query='{"createdAt":{"$gte":{"$date":"2024-06-01T00:00:00Z"}}}' \
  --out=/backup/posts-june
 
# 压缩成单个归档文件
mongodump --uri="..." --archive=/backup/full-$(date +%F).gz --gzip

/backup/2024-06-04/
  community/
    posts.bson             # 数据
    posts.metadata.json    # 索引定义、集合选项
    users.bson
    users.metadata.json

# 从目录恢复
mongorestore --uri="..." /backup/2024-06-04
 
# 从归档恢复
mongorestore --uri="..." --archive=/backup/full-2024-06-04.gz --gzip
 
# 恢复到不同的库名（常用于验证）
mongorestore --uri="..." --nsFrom="community.*" --nsTo="community_restore.*" \
  /backup/2024-06-04
 
# 只恢复一个集合，且先清空目标
mongorestore --uri="..." --db=community --collection=posts \
  --drop /backup/2024-06-04/community/posts.bson

mongodump --uri="..." --oplog --archive=/backup/consistent.gz --gzip
mongorestore --uri="..." --oplogReplay --archive=/backup/consistent.gz --gzip

mongodump 对线上的影响：
  - 读取全部数据 → 把冷数据加载进 WiredTiger cache → 挤掉热数据
  - 磁盘 IO 被占满 → 正常查询变慢
  - 大集合备份耗时长 → oplog 窗口压力
 
  缓解措施：
  1. 在一个 hidden secondary 上执行，不影响线上流量
  2. 用 --numParallelCollections=1 降低并发
  3. 备份完成后观察缓存命中率恢复情况

// 1. 锁定写入并刷盘（在要做快照的 secondary 上执行）
db.fsyncLock()

{ "info": "now locked against writes, use db.fsyncUnlock() to unlock", "ok": 1 }

# 2. 创建快照（LVM / 云盘快照 / ZFS）
lvcreate --size 100G --snapshot --name mongo-snap-$(date +%F) /dev/vg0/mongodb

// 3. 立刻解锁
db.fsyncUnlock()

  周日 02:00  全量快照 ──────────────────────────────▶
                       │
                       │  持续归档 oplog
                       ▼
  周一 15:00  误操作发生
  周一 15:30  发现问题
 
  恢复流程：
  1. 从周日 02:00 的快照恢复到一台新机器
  2. 重放 oplog，从周日 02:00 一直放到周一 14:59
  3. 校验数据，切流量

# 定期把 oplog 增量导出（比如每小时一次）
mongodump --uri="mongodb://user:pass@secondary:27017/local?authSource=admin" \
  --collection=oplog.rs \
  --query='{"ts":{"$gt":{"$timestamp":{"t":1717470000,"i":1}}}}' \
  --out=/backup/oplog/$(date +%F-%H)

# 先恢复全量
mongorestore --uri="mongodb://localhost:27018" /backup/full-2024-06-02
 
# 再重放 oplog，limit 到误操作发生前一秒
mongorestore --uri="mongodb://localhost:27018" \
  --oplogReplay \
  --oplogFile=/backup/oplog/2024-06-03-15/local/oplog.rs.bson \
  --oplogLimit=1717484340:1

db.getSiblingDB("local").oplog.rs.find({
  ns: "community.posts",
  op: "d",
  wall: { $gte: ISODate("2024-06-03T14:00:00Z") }
}).sort({ ts: 1 }).limit(1)

# mongod.conf
security:
  authorization: enabled
  keyFile: /etc/mongo/keyfile      # 复制集成员间的内部认证

use admin
db.createUser({
  user: "admin",
  pwd: passwordPrompt(),          // 交互式输入，不留在 shell 历史里
  roles: [ { role: "root", db: "admin" } ]
})

use admin
db.createUser({
  user: "community_app",
  pwd: passwordPrompt(),
  roles: [ { role: "readWrite", db: "community" } ]
})

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/mongo/server.pem
    CAFile: /etc/mongo/ca.pem
security:
  clusterAuthMode: x509

use $external
db.createUser({
  user: "CN=app.example.com,OU=svc,O=Acme,C=CN",
  roles: [ { role: "readWrite", db: "community" } ]
})

use admin
 
// 应用账号：只能读写业务库
db.createUser({ user: "app", pwd: passwordPrompt(),
  roles: [ { role: "readWrite", db: "community" } ] })
 
// 只读报表账号
db.createUser({ user: "report", pwd: passwordPrompt(),
  roles: [ { role: "read", db: "community" } ] })
 
// 备份账号
db.createUser({ user: "backup", pwd: passwordPrompt(),
  roles: [ { role: "backup", db: "admin" } ] })
 
// 监控账号
db.createUser({ user: "monitor", pwd: passwordPrompt(),
  roles: [ { role: "clusterMonitor", db: "admin" } ] })

use community
 
// 只允许读 posts 和 comments，不能碰 users
db.createRole({
  role: "contentReader",
  privileges: [
    { resource: { db: "community", collection: "posts" },    actions: ["find"] },
    { resource: { db: "community", collection: "comments" }, actions: ["find"] }
  ],
  roles: []
})
 
db.createUser({ user: "analytics", pwd: passwordPrompt(),
  roles: [ { role: "contentReader", db: "community" } ] })

db.createView("users_public", "users", [
  { $project: { username: 1, "profile.city": 1, "profile.avatar": 1, createdAt: 1 } }
])

db.createRole({
  role: "publicUserReader",
  privileges: [
    { resource: { db: "community", collection: "users_public" }, actions: ["find"] }
  ],
  roles: []
})

传输加密（TLS）        网络上的数据      防窃听
存储加密（at rest）    磁盘上的数据      防物理盗取/云盘泄露
字段级加密（CSFLE）    数据库内的数据    防 DBA 和数据库被拖库

net:
  tls:
    mode: requireTLS
    certificateKeyFile: /etc/mongo/server.pem
    CAFile: /etc/mongo/ca.pem
    allowConnectionsWithoutCertificates: false

mongosh "mongodb://db1:27017/community?tls=true&tlsCAFile=/etc/mongo/ca.pem"

security:
  enableEncryption: true
  encryptionKeyFile: /etc/mongo/enc-key

const schemaMap = {
  "community.users": {
    bsonType: "object",
    properties: {
      idCard: {
        encrypt: {
          keyId: [dataKeyId],
          bsonType: "string",
          algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"   // 确定性，可等值查询
        }
      },
      medicalNote: {
        encrypt: {
          keyId: [dataKeyId],
          bsonType: "string",
          algorithm: "AEAD_AES_256_CBC_HMAC_SHA_512-Random"          // 随机，不可查询
        }
      }
    }
  }
}

net:
  bindIp: 127.0.0.1,10.0.1.5      # 绝不要 0.0.0.0
  port: 27017
security:
  authorization: enabled
setParameter:
  authenticationMechanisms: SCRAM-SHA-256

// 危险：如果 req.body.username 是一个对象
db.users.findOne({ username: req.body.username, password: hash })
 
// 攻击者传 { "username": { "$ne": null } } → 匹配任意用户

// 1. 强制类型检查
if (typeof username !== "string") throw new Error("invalid")
 
// 2. 用 schema 校验库（zod / joi）在入口处理
// 3. 禁用 $where 和 mapReduce 里的 JS 执行
// 4. 永远不要用字符串拼接构造查询