mongodb不原生支持字段级权限控制，因其rbac仅限数据库、集合和操作粒度；字段级控制需应用层实现，如@casl/mongoose通过投影过滤、laravel-mongodb靠序列化隐藏，高合规场景须用csfle加密。
不原生支持字段级权限控制，但可通过组合方案实现等效效果
为什么 MongoDB 没有 built-in 的 field-level permissions
MongoDB 的 RBAC（基于角色的访问控制）只到数据库、集合、操作（如 find、update）粒度，read 或 readWrite 权限一旦授予，用户就能读取整个文档的所有字段——包括密码、身份证号这类敏感字段。官方明确不提供“只让某人读 name 但不能读 ssn”的内置机制。
- 这是设计取舍：MongoDB 优先保证查询性能和复制一致性，字段级鉴权需在每次查询时动态过滤，会破坏索引下推和聚合优化
- 所有字段级控制都必须由应用层或驱动层承担，数据库本身不参与判断
- 即使启用
security.authorization: enabled，也无法阻止已认证用户通过db.collection.find({})拿到完整文档
@casl/mongoose 如何模拟字段级读权限
它不改 MongoDB 行为，而是把权限规则编译成查询条件 + 投影（projection），在执行前就筛掉无权访问的字段。
三顾购物系统化妆品版
下载
本版本采用三顾购物平台，适合应用于化妆品销售。一、商品管理 商品发布：支持4种自定义价格，自定义商品字段完美支持多种行业应用，商品显示属性控制，不限上传商品图片，每个商品均有5帧幻灯片支持，拥有新品、特价、推荐等属性，可自定义随意编写商品介绍。商品管理：按各种属性查看商品列表、库存及价格，管理具体商品。商品评论：管理审核删除回复网友对商品的评级及评论。另支持品牌管理、单位管理、赠品管理等。二、订单
- 定义规则时用
fields限定可读字段：can('read', 'Post', { status: 'published' }, { fields: ['title', 'content'] }) - 调用
accessibleBy(ability)时，它自动追加{ title: 1, content: 1, _id: 1 }到查询选项中，隐藏其他字段 - 注意：这仅对
find/findOne有效；aggregate需手动在$project阶段处理，accessibleBy不介入 - 风险点：如果前端传入了恶意
projection（比如{ ssn: 1 }），且后端没校验，权限规则会被绕过
laravel-mongodb 的 $hidden 和 makeVisible() 是什么层级的控制
纯应用层序列化控制，发生在数据从 MongoDB 取出之后、返回给客户端之前，**不减少网络传输量，也不降低数据库负载**。
-
$hidden = ['ssn']只影响toArray()、toJson()等输出，$hiddenAnimal->ssn在 PHP 内存中依然可读 -
makeVisible('ssn')是运行时覆盖，适合管理后台临时查看，但必须确保调用上下文已做权限校验（比如检查当前用户是否是审计员） - 它和批量赋值保护（
$fillable/$guarded）是正交的：一个管“读出”，一个管“写入”，两者都要配齐才构成基础防护 - 陷阱：若模型用了
toArray()后再 JSON encode 给前端，而忘了调用makeHidden()，敏感字段就直接暴露了
真正需要加密字段时，别依赖权限逻辑
当字段涉及 PCI DSS、GDPR 或内部合规要求（如员工薪资），仅靠“不让读”不够——运维、DBA、备份系统仍能直连看到明文。此时必须用 client-side field level encryption（CSFLE）。
- 加密密钥由应用控制，MongoDB 服务端全程只存密文；即使 DBA 导出 BSON，也解不开
ssn字段 - 必须用支持 CSFLE 的驱动（如 Node.js 的
mongodb@6.0+），且服务端要启用enableEncryption配置 - 代价明显：无法对加密字段建索引、无法在
$match中查询（除非用 Queryable Encryption）、增加 CPU 开销 - 最常被忽略的一点：密钥轮换需重写全部历史数据，没有后台自动迁移工具，得自己写脚本边查边更新
字段级控制从来不是开个开关就能生效的事——它要么靠应用代码一层层守门，要么靠客户端加密把数据变成“锁在盒子里的钥匙”。选哪条路，取决于你怕的是普通用户越权，还是管理员或第三方托管方直接翻库。
