1. Node.js 连 MongoDB 3.4 报 Access control is not enabled 到底在说什么

你写了一段 Node.js 代码，用 mongoose 或官方 mongodb 驱动去连本地 MongoDB 3.4，控制台没直接报错，却先甩出一行 warning：

Access control is not enabled for the database. Read and write access to data and configuration is unrestricted.

这句话不是连接失败，而是 MongoDB 在提醒你：当前这个实例根本没开鉴权，任何人只要能连上端口，就能读写所有库、甚至改配置。对本地练手无所谓，但只要这台机器有公网入口、或者你在团队环境里跑，这就是个必须处理的安全缺口。

它出现的典型场景有三种。第一种，你刚装完 MongoDB 3.4，直接mongod启动，没加--auth，驱动连上去就收到这条警告。第二种，你加了--auth，但连接串里没写authSource，驱动默认去目标库找用户，结果认证失败或行为异常。第三种，你在 Node.js 里用mongoose.createConnection传了 user/pass，但参数位置或写法不对，MongoDB 3.4 时代的 API 和新版差异很大，凭据根本没生效。

这篇要解决的不是「怎么把警告关掉」，而是把整条鉴权链路查清楚：mongod 启动参数对不对、用户建在哪个库、角色够不够、Node.js 连接串的 authSource 指哪、驱动版本和写法是否匹配。同时我会讲一个容易被忽略的点——当你的项目里同时有 MongoDB、模型 API、编码工具等多套凭据时，怎么用 TaoToken 的统一 Key 通道把凭据管理收拢，避免每个工具各配一套、排查时到处翻。

适合谁看：正在用 Node.js + MongoDB 3.4 做后端、被这条警告卡住、想一次性搞懂鉴权配置的人。下面从根因开始，一步步给可复制的命令和代码。

2. 先搞懂 MongoDB 3.4 鉴权链路与 TaoToken 统一 Key 的前置准备

MongoDB 的鉴权不是「设个密码」这么简单，它由三层组成，任何一层错位都会让驱动报鉴权相关的问题。

第一层是实例是否开启访问控制。这由 mongod 启动参数决定，--auth打开后，所有连接都必须认证；不加就是无鉴权模式，也就是那条警告的来源。第二层是用户建在哪个库。MongoDB 的用户是「库级」的，你在 admin 库建的用户，认证时authSource就得写 admin；在 test 库建的用户，authSource 写 test。第三层是角色权限，readWrite、read、userAdminAnyDatabase这些决定了这个用户能干什么。

MongoDB 3.4 有个关键特性：它同时支持 SCRAM-SHA-1 认证机制，这是 3.0 之后引入的默认机制。Node.js 驱动版本如果太老或太新，握手时可能对不上。所以排查时驱动版本也要看一眼。

现在说 TaoToken 在这里的角色。它本身不是数据库，不替代 MongoDB，而是一个统一凭据与 API 通道管理平台。你可以在官网 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 了解它的定位：把多个工具、多个模型的 Key 收敛成一套可管理的通道。为什么排查 MongoDB 鉴权时要提它？因为真实项目里，你的 Node.js 服务往往不只连数据库，还要调模型接口、跑编码 Agent。凭据散落在.env、settings.json、auth.json里，出问题时你分不清是数据库认证挂了还是 API Key 失效了。用 TaoToken 把 API 侧的 Key 统一后，数据库鉴权问题就能被隔离出来单独查。

前置准备清单：

• 确认 MongoDB 3.4 已安装，mongod --version能看到 3.4.x。
• 确认 Node.js 环境，node -v，建议 8 以上（3.4 时代的驱动兼容区间）。
• 准备一个数据目录，比如/data/mongodb，启动时要指定。
• 注册 TaoToken 账号，拿到统一 Key，后面在 API 通道部分会用到。控制台入口在 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ，API Key 管理在 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 。

这里先给一个概念对照，帮你理解后面配置里每个字段的含义：

把这张表记住，后面每一步都能对上号。

3. 可复制的 mongod 启动配置与 Node.js 连接代码

这一节是核心，所有片段都能直接抄。先建管理员用户，再带鉴权启动，最后写 Node.js 连接代码。

第一步，无鉴权模式先启动一次，用来创建管理员。注意数据目录换成你自己的：

mongod --port 27017 --dbpath /data/mongodb

看到waiting for connections on port 27017就说明起来了。另开一个终端进 shell：

mongo --port 27017

在 shell 里切到 admin 库建管理员：

use admin db.createUser({ user: "userAdmin", pwd: "YourStrongPwd123", roles: [ { role: "userAdminAnyDatabase", db: "admin" }, { role: "readWriteAnyDatabase", db: "admin" } ] })

返回Successfully added user就成功了。这里userAdminAnyDatabase负责管用户，readWriteAnyDatabase负责读写，实际生产别给这么宽，练手够用。

第二步，关掉刚才的 mongod，带--auth重启：

mongod --auth --port 27017 --dbpath /data/mongodb

这一步是消除Access control is not enabled警告的关键。启动日志里同样会打印waiting for connections on port 27017，但此时所有连接都要认证。

第三步，给业务库建一个普通用户。用管理员身份登录：

mongo --port 27017 -u "userAdmin" -p "YourStrongPwd123" --authenticationDatabase "admin"

然后建业务用户：

use test db.createUser({ user: "tester", pwd: "TesterPwd123", roles: [ { role: "readWrite", db: "test" }, { role: "read", db: "reporting" } ] })

注意这个用户建在test库，所以它的authSource就是test，不是 admin。这是最容易搞混的地方。

第四步，Node.js 连接代码。先装驱动，MongoDB 3.4 建议用 2.x 系列驱动：

npm install mongodb@2.2.36

官方驱动写法：

const MongoClient = require('mongodb').MongoClient; const url = 'mongodb://tester:TesterPwd123@localhost:27017/test?authSource=test'; MongoClient.connect(url, { useMongoClient: true }, function(err, db) { if (err) { console.error('连接失败:', err.message); return; } console.log('连接成功，鉴权通过'); db.collection('users').insertOne({ name: 'alice' }, function(e, r) { if (e) { console.error('写入失败:', e.message); return; } console.log('写入成功:', r.insertedId); db.close(); }); });

关键点：authSource=test必须和用户所在库一致。如果你把用户建在 admin，这里就写authSource=admin。

mongoose 写法，MongoDB 3.4 时代createConnection的参数形式和新版不同：

const mongoose = require('mongoose'); const uri = 'mongodb://tester:TesterPwd123@localhost:27017/test?authSource=test'; mongoose.connect(uri, { useMongoClient: true }); const db = mongoose.connection; db.on('error', function(err) { console.error('mongoose 连接错误:', err.message); }); db.once('open', function() { console.log('mongoose 鉴权连接成功'); });

如果你项目里同时要调模型 API，把 API 侧的 Key 统一到 TaoToken，配置片段可以放在同一个.env里，避免凭据散落：

{ "taotoken": { "base_url": "https://taotoken.net/api", "api_key": "sk-your-taotoken-key", "model_id": "your-model-id" }, "mongodb": { "uri": "mongodb://tester:TesterPwd123@localhost:27017/test?authSource=test" } }

这样数据库鉴权和 API 鉴权分成两个独立块，出问题时一眼能定位是哪一侧。TaoToken 的接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，里面有 Base URL、Key、Model ID 三件套的完整说明。

4. 验证请求与成功结果：确认鉴权真的生效了

配完不代表生效，必须验证。分三层验证：实例层、shell 层、Node.js 层。

实例层验证，用db.serverStatus()看访问控制状态。先用管理员登录：

mongo --port 27017 -u "userAdmin" -p "YourStrongPwd123" --authenticationDatabase "admin"

执行：

db.serverStatus().security

如果返回里包含"authenticationEnabled": true，说明实例鉴权已开。如果还是 false，说明 mongod 没带--auth启动，回去检查启动命令。

shell 层验证，故意用错密码登录，看是否被拒：

mongo --port 27017 -u "tester" -p "WrongPwd" --authenticationDatabase "test"

预期结果是Authentication failed。如果错密码也能进，说明鉴权没生效。再用正确密码登录，能进就对了。

Node.js 层验证，跑第 3 节的官方驱动代码，预期输出：

连接成功，鉴权通过 写入成功: 5f8a...

如果写入成功，说明readWrite角色生效。再测一个越权场景，用 tester 去写 reporting 库（它只有 read 权限）：

const url = 'mongodb://tester:TesterPwd123@localhost:27017/reporting?authSource=test'; MongoClient.connect(url, { useMongoClient: true }, function(err, db) { if (err) { console.error('连接失败:', err.message); return; } db.collection('logs').insertOne({ msg: 'test' }, function(e) { if (e) { console.error('预期内的越权失败:', e.message); } db.close(); }); });

预期报not authorized on reporting to execute command。这条能复现，说明角色权限边界是对的。

最后验证 TaoToken 通道。用模型对话入口发一个测试请求，确认 API 侧 Key 可用：https://taotoken.net/model-chat?utm_source=taotoken_aicg_blog_end&utm_content=model-chat&utm_campaign=rewrite 。如果模型侧正常、MongoDB 侧也正常，说明两套凭据各自独立且都通了。这一步的意义在于：当项目报鉴权错误时，你能快速判断是数据库问题还是 API 问题，而不是混在一起猜。

验证通过后，把 mongod 启动命令固化到 systemd 或启动脚本里，别每次手敲。一个简单的启动脚本：

#!/bin/bash mongod --auth --port 27017 --dbpath /data/mongodb --logpath /data/mongodb/mongod.log --fork

--fork让它在后台跑，--logpath把日志落盘，方便后面排错。

5. 本篇常见错排查：401、local proxy failed、reading choices、OAuth

这一节按真实报错来对。你遇到的错误信息可能和标题不完全一样，但根因往往就那几个。

报错一：MongoError: Authentication failed。这是最直接的鉴权失败。检查顺序：用户建在哪个库、authSource写的是不是那个库、密码有没有特殊字符没转义。连接串里密码含@、:、/时必须 URL 编码，比如@写成%40。我踩过的坑就是密码里有个@，连接串被截断，一直报认证失败。

报错二：Access control is not enabled for the database反复出现。说明 mongod 没带--auth。用ps aux | grep mongod看启动参数里有没有--auth。没有就停掉重启。注意：如果你用配置文件启动，检查security.authorization: enabled这一行。

报错三：local proxy failed。这个通常出现在你通过某个本地代理或转发层访问服务时。排查方向是确认代理进程是否在跑、端口是否被占、目标地址是否可达。如果你在 Node.js 里配了 HTTP 代理环境变量，先临时清掉HTTP_PROXY、HTTPS_PROXY再试，排除代理干扰。

报错四：Cannot read property 'choices' of undefined。这是 API 响应结构解析错误，常见于模型接口返回格式和代码预期不一致。检查你请求的 Base URL 和 Model ID 是否匹配，响应体里有没有choices字段。用 TaoToken 统一通道时，Base URL 固定为https://taotoken.net/api，Model ID 从控制台复制，别手写。

报错五：OAuth 相关错误，比如OAuth token invalid或invalid_grant。这类多出现在编码工具或 CLI 的登录态上。如果你用 Claude Code 这类工具，认证走的是 OAuth 流程，token 过期或环境变量冲突都会报。处理方式是重新走一遍授权，或者改用 API Key 方式接入。Claude Code 的接入说明在 https://taotoken.net/claude-code-anthropic?utm_source=taotoken_aicg_blog_end&utm_content=claudecode&utm_campaign=rewrite ，里面有 Base URL、Key、Model ID 的完整配置。

报错六：auth mechanism not supported。MongoDB 3.4 默认 SCRAM-SHA-1，如果你的驱动太新只发 SCRAM-SHA-256，就会握手失败。解决方式是降驱动版本，或在连接串里显式指定authMechanism=SCRAM-SHA-1：

mongodb://tester:pwd@localhost:27017/test?authSource=test&authMechanism=SCRAM-SHA-1

排查时养成一个习惯：先看 mongod 日志，再看驱动报错，最后看连接串。日志里Authentication failed会带具体原因，比驱动抛出的笼统错误有用得多。

如果你在项目里同时用 Cline MCP 或 Codex 这类工具，凭据配置要写全三件套。以 Codex 的auth.json为例，Base URL、Key、Model ID 缺一不可，少一个就会报鉴权或模型找不到。Coding Plan 的长期编码场景可以在 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 看配置方式。把这些 API 侧凭据统一到 TaoToken 后，MongoDB 的鉴权问题就不会和 API 问题互相干扰。

6. 把鉴权链路收拢成一套可复用的排查流程

到这里，Access control is not enabled的根因和排查路径已经完整了。核心就三件事：mongod 带--auth启动、用户建在正确的库、连接串的authSource和用户所在库一致。这三件对齐，警告消失，鉴权生效。

实际项目里，我建议你把排查流程固化成一张检查单，下次遇到鉴权问题直接照着走：

先确认实例层，db.serverStatus().security里authenticationEnabled是不是 true。再确认用户层，db.system.users.find()看用户建在哪个库、角色是什么。然后确认连接层，连接串的authSource、authMechanism、密码编码有没有问题。最后确认驱动层，版本是否和 MongoDB 3.4 兼容。

API 侧的凭据管理同理，用 TaoToken 把 Base URL、Key、Model ID 收敛成一套，模型对话、编码工具、Agent 都走同一个通道。这样当服务报错时，你能快速二分：是数据库鉴权挂了，还是 API 通道挂了。接入文档和 API Key 管理分别在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 和 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite ，需要长期编码或 Agent 场景的可以看 Coding Plan。

最后一个实用技巧：把 mongod 启动参数、用户创建脚本、Node.js 连接代码都放进版本控制，别只存在脑子里。下次换机器或重建环境，直接跑脚本，省得重新踩一遍authSource的坑。