在Eclipse Mosquitto中发布/订阅ACL禁止主题时如何获取反馈？

问题场景 #

Docker部署的Eclipse Mosquitto 2.0.20 Broker，配置ACL规则限制用户joe仅能读写allowed主题：
mosquitto.acl

user joe
topic readwrite allowed

mosquitto.conf

allow_anonymous false
password_file /mosquitto/config/passwd
listener 1883 0.0.0.0
log_dest stdout
log_type all
acl_file /mosquitto/config/mosquitto.acl

当用户joe发布到forbidden主题时：

mosquitto_pub -t forbidden -m hi --debug -u joe --pw pwdjoe1

出现以下异常：

• 客户端退出码为0，无任何错误提示
• Broker无ACL拒绝相关日志输出
• 消息确实被ACL拦截（订阅者无法接收）
• 测试QoS 0/1/2均无客户端错误提示，订阅$SYS/#也无消息返回

解决方案 #

1. 开启Broker的ACL拒绝日志 #

Mosquitto 2.x中，ACL拒绝事件属于warning级别日志，默认log_type all理论上包含，但Docker环境下需确保日志输出配置正确。修改mosquitto.conf，显式指定日志类型：

log_dest stdout
log_type all
log_type warning  # 显式添加，确保警告级日志输出

重启Broker后，再发布禁止主题，就能在stdout看到类似如下日志：

1699999999: Denied PUBLISH from joe (d0, q0, r0, m1, 'forbidden', ... (2 bytes))

2. 让客户端感知ACL拒绝（针对QoS 1/2） #

MQTT协议规定QoS 0消息是“至多一次”交付，Broker无需向客户端确认接收，因此ACL拒绝时会直接丢弃消息，客户端无法收到反馈，退出码保持0。

要让客户端收到错误提示，需使用QoS 1或QoS 2发布消息：

mosquitto_pub -t forbidden -m hi --debug -u joe --pw pwdjoe1 -q 1

此时客户端会收到Broker返回的PUBACK包，携带0x87（Not Authorized）原因码，调试输出会显示：

Client null received PUBACK (Mid: 1, Reason Code: Not Authorized)

同时客户端退出码变为非0，明确提示操作失败。

3. 解决$SYS/#订阅无消息问题 #

Mosquitto的$SYS系统主题默认不属于普通用户的权限范围，即使是特权用户也需显式授权。修改mosquitto.acl，添加$SYS主题的读权限：

user joe
topic readwrite allowed
topic read $SYS/#

重启Broker后，用户joe即可订阅并接收$SYS/#主题的消息。

核心原因说明 #

1. QoS 0协议特性：QoS 0无需Broker确认，拒绝时无反馈，客户端无法感知。
2. 日志级别配置：ACL拒绝属于warning级日志，需确保Broker配置输出该级别日志。
3. 系统主题权限：$SYS主题是特殊系统主题，默认不开放给普通用户，需显式配置ACL规则。

内容的提问来源于stack exchange，提问作者slartidan