如何在Solace代理中限制客户端仅订阅指定队列并排查ACL问题

你遗漏了队列级别的显式权限限制和默认拒绝策略的配置，主题权限和队列权限是相互独立的，只配置主题规则不足以限制队列访问。具体需要补充以下配置：

1. 添加队列级别的精确权限控制 #

主题权限仅管控消息的路由（订阅/发布的主题匹配），但队列本身的访问权限需要单独配置：

• 明确允许用户对目标队列执行read（对应订阅）操作
• 完全禁止用户对该队列执行write（对应发布）操作
• 拒绝用户访问所有其他队列

以RabbitMQ为例，用命令配置：

# 格式：rabbitmqctl set_permissions -p <虚拟主机> <用户名> <配置权限正则> <写入权限正则> <读取权限正则>
rabbitmqctl set_permissions -p / restricted_user "^$" "^$" "^target_queue$"
# 说明：写入权限设为^$即禁止发布，读取权限仅匹配目标队列，配置权限设为^$禁止创建/修改队列

2. 设置默认拒绝策略 #

多数MQ系统（如RabbitMQ、ActiveMQ）默认是允许未明确配置的操作，必须将默认规则改为拒绝所有未授权操作：

• 以RabbitMQ为例，在rabbitmq.conf中添加：

authz.default = deny

这样所有未被显式允许的操作（包括连接未授权队列）都会被拦截。

3. 验证权限有效性 #

配置后用命令确认权限是否正确：

rabbitmqctl list_user_permissions restricted_user

确保输出仅包含目标队列的read权限，无其他队列的任何权限。

额外提示 #

如果使用其他MQ系统（如ActiveMQ），核心逻辑一致：需同时配置主题路由权限和队列访问权限，并开启默认拒绝。不要混淆主题（消息路由规则）和队列（实际存储容器）的权限边界。

内容的提问来源于stack exchange，提问作者João Reis