通过HTTP创建ejabberd用户遇权限错误，求配置排查

一、当前管理员调用API失败的原因及修复 #

1. Python脚本拼写错误 #

脚本中headers里的application/jason是错误拼写，正确应为application/json，格式错误会导致服务器无法正确解析请求，进而触发授权异常。

修复后的脚本片段：

headers = {'Content-Type': 'application/json'}

2. ejabberd配置权限验证 #

你的api_permissions中"admin access"组已允许admin用户通过mod_http_api调用几乎所有命令，但需确认两点：

• 脚本中使用的admin账户对应的JID是admin@example.com，与acl中的admin条目完全匹配
• 该admin账户已通过ejabberdctl register admin example.com yourAdminPassword命令在ejabberd中创建完成

虽然"public commands"组限制register命令仅允许127.0.0.1访问，但管理员权限优先级更高，修复脚本拼写后即可正常调用。

二、创建受限的apiuser账户（仅指定IP可调用register） #

1. 添加ACL规则 #

在acl区块新增apiuser和允许的IP范围：

acl:
  # 保留原有ACL条目...
  apiuser:
    user:
      - "apiuser@example.com"
  api_trusted_ip:
    ip:
      - 192.168.1.100/32  # 替换为你的目标IP
      - 10.0.0.5/32       # 可添加多个IP段

2. 新增API权限组 #

在api_permissions区块添加专属权限规则：

api_permissions:
  # 保留原有权限组...
  "apiuser register access":
    who:
      - apiuser
    what:
      - register
    from:
      - mod_http_api
    ip_access: api_trusted_ip

3. 创建apiuser账户 #

执行命令创建该受限账户：

ejabberdctl register apiuser example.com yourApiUserPassword

4. 调整Python脚本凭证 #

将脚本中的认证信息替换为apiuser的凭证：

auth = ('apiuser', 'yourApiUserPassword')

三、注意事项 #

• 修改配置后需重启ejabberd服务才能生效
• 若存在反向代理，需配置ejabberd识别真实客户端IP，否则IP限制会失效
• 可查看ejabberd日志（通常路径/var/log/ejabberd/ejabberd.log）获取更详细的授权错误信息，辅助排查问题

内容的提问来源于stack exchange，提问作者Benny Abramovici