поставьте мое программное обеспечение с безопасным mongodb

Это своего рода интересный, необычный случай использования.

Прежде всего, я хочу убедиться, что вы знаете о последствиях лицензирования/авторских прав на объединение MongoDB с вашим программным обеспечением. Вы должны проверить лицензионный раздел страницы GongHub проекта mongo и ознакомиться с AGPL.

Во-вторых, самая простая часть вашего вопроса:

как сохранить учетные данные пользователя приложения в приложении? в файле конфигурации? но это может быть прочитано клиентом. какие-нибудь лучшие практики здесь?

Это выходит за рамки MongoDB. Если пользователь владеет системой, в которой работает процесс mongod, они могут просто скопировать файлы данных и настроить no-auth mongod поверх ваших данных приложения. Вы не можете разумно остановить их от подобных действий, поэтому не рассчитывайте, что ваши данные приложений будут защищены от пользователя клиента. Кроме того, если вы устанавливаете свой код приложения локально, любой разумно умный и преданный человек должен иметь возможность извлекать имя пользователя и пароль из скомпилированного кода приложения. Вы можете сделать это трудно, но не невозможно.

В третьих,

Как я программно это делаю?

Основываясь на том, что я только что сказал, я беру "это", чтобы означать

при установке (или при запуске) создать пользователя с правами на чтение и запись, которые мое программное обеспечение будет использовать для связи с базой данных.

а не в том, чтобы быть уверенным в том, что он будет защищен от лица, которому принадлежит компьютер, на котором он установлен, потому что это невозможно. Чтобы сделать это, я бы либо упаковал файл мини-данных, чтобы запустить mongod сверху, тот, который включал уже настроенные пользователи, или включал дамп, который вы используете что-то вроде mongorestore для загрузки в mongod после его запуска. Первый вариант проще реализовать, и не должен требовать, чтобы вам нужно было снять и возродить процесс mongod, поэтому попробуйте это - посмотрите, можете ли вы настроить mongod с помощью auth, как вы этого хотите, а затем перетащить информацию о пользователе, скопировав данные файлы. FWIW, я уверен, что пароли не хранятся в текстовом виде в файлах данных (они соленые), поэтому у вас не будет того, что непосредственно отображается из файлов данных.

В заключение,

Как я могу справиться с обновлениями?

Вам нужно будет удалить свой mongod, перезапустить его с помощью auth, использовать исключение localhost для создания нужных вам пользователей, отключить исключение localhost (необязательно, но почему бы и нет), а затем завершить это соединение и запустить новые, используя auth. Это тот же процесс, что и в руководствах по безопасности, вам просто нужно сделать это с помощью команд драйвера С#. Обратите внимание, что перемещение между версиями MongoDB также сложно, поскольку модель безопасности улучшилась с течением времени, поэтому вам следует проконсультироваться с руководством по обновлению для дополнительных действий, чтобы убедиться, что схема пользователя обновлена правильно, если вы перемещаете пользователя с безопасного 2.6 на защитите 3.0, скажем.