授权与权限模型

RabbitMQ提供精细化的权限控制模型，可对队列、交换机等资源进行读写管理权限的细粒度分配。

权限模型架构

三层权限结构

权限作用域

权限基于 Virtual Host 隔离，每个 VHost 独立配置权限。

# 查看用户权限
rabbitmqctl list_user_permissions app_user

# 查看 VHost 内所有权限
rabbitmqctl list_permissions -p /

权限配置

创建用户并分配权限

import com.rabbitmq.client.ConnectionFactory;
import com.rabbitmq.client.Connection;
import com.rabbitmq.client.Channel;
import com.rabbitmq.client.AMQP;

import java.io.IOException;
import java.util.HashMap;
import java.util.Map;
import java.util.concurrent.TimeoutException;

/**
 * RabbitMQ 权限配置与管理示例
 */
public class PermissionManagement {

    private static final String HOST = "localhost";
    private static final int PORT = 5672;
    private static final String ADMIN_USER = "admin";
    private static final String ADMIN_PASS = "admin123";

    public static void main(String[] args) throws Exception {
        ConnectionFactory factory = new ConnectionFactory();
        factory.setHost(HOST);
        factory.setPort(PORT);
        factory.setUsername(ADMIN_USER);
        factory.setPassword(ADMIN_PASS);

        try (Connection conn = factory.newConnection();
             Channel channel = conn.createChannel()) {
            
            // 注意：用户和权限管理需通过 Management HTTP API 或 rabbitmqctl
            // Java Client 无法直接管理用户权限，以下为示例说明
            demonstratePermissionSetup();
        }
    }

    private static void demonstratePermissionSetup() {
        /*
         * 使用 rabbitmqctl 配置权限示例：
         * 
         * 1. 创建用户
         * rabbitmqctl add_user order_service order_pass_123
         * 
         * 2. 设置用户标签（角色）
         * rabbitmqctl set_user_tags order_service management
         * 
         * 3. 配置权限（VHost: /, configure: order.*, write: order.*, read: order.*）
         * rabbitmqctl set_permissions -p / order_service "^order\\..*" "^order\\..*" "^order\\..*"
         * 
         * 权限参数说明：
         * - configure: 可创建/删除的资源正则（如队列、交换机）
         * - write: 可写入消息的资源正则
         * - read: 可读取消息的资源正则
         * 
         * 4. 配置主题权限（可选）
         * rabbitmqctl set_topic_permissions -p / order_service order.exchange "order.*" ""
         */
        
        System.out.println("权限配置需通过 Management API 或 rabbitmqctl 完成");
        System.out.println("Java Client 仅用于业务操作，不用于权限管理");
    }
}

权限管理必须通过 rabbitmqctl 或 Management HTTP API 完成，Java Client 不支持权限管理操作。

权限正则表达式

权限验证流程

连接时权限检查

import com.rabbitmq.client.ConnectionFactory;
import com.rabbitmq.client.Connection;
import com.rabbitmq.client.Channel;
import com.rabbitmq.client.AlreadyClosedException;

import java.io.IOException;
import java.util.concurrent.TimeoutException;

/**
 * 权限验证示例：使用受限账号连接并操作资源
 */
public class PermissionVerification {

    public static void main(String[] args) {
        // 使用受限权限账号连接
        ConnectionFactory factory = new ConnectionFactory();
        factory.setHost("localhost");
        factory.setPort(5672);
        factory.setUsername("order_service");  // 仅 order.* 权限
        factory.setPassword("order_pass_123");
        factory.setVirtualHost("/");

        try (Connection conn = factory.newConnection();
             Channel channel = conn.createChannel()) {
            
            // 允许：操作 order 开头的队列
            channel.queueDeclare("order.created", true, false, false, null);
            System.out.println("[OK] 队列 order.created 创建成功");
            
            channel.basicPublish("order.exchange", "order.created", null, "test".getBytes());
            System.out.println("[OK] 消息发布成功");
            
            // 拒绝：操作非 order 开头的资源会抛出 AccessRefused 异常
            try {
                channel.queueDeclare("payment.queue", true, false, false, null);
            } catch (Exception e) {
                System.err.println("[DENIED] 无权创建 payment.queue: " + e.getMessage());
            }
            
        } catch (IOException | TimeoutException e) {
            System.err.println("连接失败: " + e.getMessage());
        }
    }
}

权限审计与监控

通过 Management API 查询权限

import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.net.HttpURLConnection;
import java.net.URL;
import java.nio.charset.StandardCharsets;
import java.util.Base64;

/**
 * 权限审计查询示例
 */
public class PermissionAuditor {

    private static final String MANAGEMENT_URL = "http://localhost:15672";
    private static final String USERNAME = "admin";
    private static final String PASSWORD = "admin123";

    public static void main(String[] args) throws IOException {
        listAllPermissions();
    }

    private static void listAllPermissions() throws IOException {
        String endpoint = MANAGEMENT_URL + "/api/permissions";
        URL url = new URL(endpoint);
        HttpURLConnection conn = (HttpURLConnection) url.openConnection();
        conn.setRequestMethod("GET");
        
        String auth = USERNAME + ":" + PASSWORD;
        String encodedAuth = Base64.getEncoder().encodeToString(auth.getBytes(StandardCharsets.UTF_8));
        conn.setRequestProperty("Authorization", "Basic " + encodedAuth);

        try (BufferedReader reader = new BufferedReader(
                new InputStreamReader(conn.getInputStream(), StandardCharsets.UTF_8))) {
            StringBuilder response = new StringBuilder();
            String line;
            while ((line = reader.readLine()) != null) {
                response.append(line);
            }
            System.out.println("当前权限配置:\n" + response);
        }
    }
}

定期审计权限配置，确保无过度授权情况。

注意事项

• 正则精确匹配：权限正则使用 ^ 开头和 .* 结尾可精确控制资源前缀
• 最小权限原则：仅分配必要的 configure/write/read 权限
• VHost 隔离：不同业务使用不同 VHost，避免权限交叉
• 定期审查：每季度审查所有账号权限，及时回收多余权限
• 权限变更通知：权限变更应通过变更管理系统记录，避免随意修改

要点总结

• 三层权限结构：User Tag 定义角色，Permissions 控制资源，Topic Permissions 控制主题
• 正则表达式匹配：通过正则精确控制可操作的资源范围
• 最小权限原则：仅分配必要的读写管理权限
• VHost 隔离：权限基于 VHost 生效，配合 VHost 实现多环境隔离
• 定期审计：通过 Management API 定期审查权限配置，确保无过度授权