RabbitMQ用户拥有权限却被拒绝访问STOMP队列问题排查

问题背景 #

我们的技术栈使用Keycloak生成JWT令牌，已在JWT的scope字段中为用户配置RabbitMQ权限（用户归属对应客户组，绑定独立vhost）：

"scope": "email profile rabbitmq.write:customer1/*/* rabbitmq.read:customer1/*/*"

但前端通过STOMP连接RabbitMQ时，日志出现访问拒绝错误：

2023-08-02 12:26:51.471470+00:00 [erro] <0.7933.0> STOMP error frame sent:
2023-08-02 12:26:51.471470+00:00 [erro] <0.7933.0> Message: access_refused
2023-08-02 12:26:51.471470+00:00 [erro] <0.7933.0> Detail: "ACCESS_REFUSED - access to queue 'stomp-subscription-0wa7v-Ameof5juowM_5T1g' in vhost 'customer1' refused for user '14485fee-4180-454e-8137-befaec745577'"

使用RabbitMQ OAuth2后端插件，需排查权限拒绝原因。

排查步骤 #

1. 检查STOMP自动队列的权限需求 #

STOMP客户端订阅时会自动创建临时队列（如stomp-subscription-xxx），这类操作除了read/write权限，还需要**configure权限**才能完成队列创建。当前JWT仅授予write和read权限，缺少队列创建所需的核心权限。

• 临时验证方案：在Keycloak的scope中添加rabbitmq.configure:customer1/*/*，重新生成令牌后测试订阅。

2. 验证OAuth2插件的权限解析逻辑 #

• 确认RabbitMQ OAuth2插件是否支持通配符*：部分版本插件需显式开启通配符支持，检查rabbitmq.conf中是否配置：

  rabbitmq_auth_backend_oauth2.scope_parser = rabbitmq_auth_backend_oauth2.default_scope_parser
  rabbitmq_auth_backend_oauth2.default_scope_parser.wildcard_support = true
  

• 开启插件调试日志，查看权限解析过程：

  rabbitmqctl set_log_level auth=debug
  

  重新发起STOMP连接，查看日志中是否正确识别JWT中的权限规则。

3. 校验JWT令牌的实际内容 #

• 解码JWT令牌，确认scope字段格式无错误：
  • 确保权限字符串无多余转义字符，如rabbitmq.write:customer1/*/*格式正确，未被额外引号包裹。
  • 确认vhost名称customer1与RabbitMQ中实际存在的vhost完全一致（大小写敏感）。

4. 排查版本兼容性问题 #

• 检查RabbitMQ与OAuth2插件的版本匹配度：旧版本插件（如RabbitMQ 3.8.x及更早）对STOMP动态队列的权限处理存在bug，建议升级至RabbitMQ 3.9+及对应版本的OAuth2插件。

5. 排除其他权限规则干扰 #

• 检查RabbitMQ是否存在其他权限策略：执行rabbitmqctl list_policies查看是否有策略覆盖了OAuth2插件的动态权限。
• 确认vhostcustomer1未设置全局权限限制，导致用户权限被过滤。

内容的提问来源于stack exchange，提问作者AVarf