ActiveMQ Artemis通配符安全设置未按预期生效问题排查

问题核心并非权限覆盖，而是你误解了ActiveMQ Artemis的安全设置匹配逻辑——broker会选择匹配特异性最高的规则单独生效，而非合并所有匹配规则的权限。

具体原因分析 #

你的目标地址appA.appB.request同时匹配两个安全规则：

1. appA.#：匹配所有以appA开头的地址
2. *.appB.#：匹配所有第二个段为appB的地址

Artemis通过对每个匹配段打分来计算特异性：精确匹配得2分，*匹配得1分，#匹配得0分。两者的得分如下：

• appA.#：第一段精确匹配（2分）+ 后续#匹配（0分）→ 总分2
• *.appB.#：第一段*匹配（1分）+ 第二段精确匹配（2分）→ 总分3

由于*.appB.#的特异性更高，broker会优先使用该规则的权限配置。但该规则仅授予了consume和browse权限，未包含CREATE_DURABLE_QUEUE，因此appA用户创建持久队列时触发权限异常。

解决方案 #

为跨应用的具体地址配置更具特异性的安全规则，确保其优先级高于*.appB.#。例如添加如下配置：

<security-setting match="appA.appB.#">
    <permission type="createDurableQueue" roles="appA"/>
    <permission type="deleteDurableQueue" roles="appA"/>
    <permission type="createAddress" roles="appA"/>
    <permission type="deleteAddress" roles="appA"/>
    <permission type="consume" roles="appA,appB"/>
    <permission type="browse" roles="appA,appB"/>
    <permission type="send" roles="appA"/>
    <permission type="manage" roles="appA"/>
</security-setting>

该规则的特异性得分为2+2+0=4，会被优先选中，既满足appA创建队列、发送消息的需求，也允许appB消费该地址的消息。

补充说明 #

ActiveMQ Artemis的"最特异性匹配优先"是官方文档明确规定的逻辑，并非未文档化行为。你之前的误解在于默认认为规则会合并生效，实际broker只会采用优先级最高的单个规则的权限配置。

内容的提问来源于stack exchange，提问作者VLEESDOEKJE