Spring Boot配置ActiveMQ身份验证后仍可匿名连接的问题排查

你的配置存在几个关键错误，导致无需用户名密码即可连接的问题，以下是具体排查和修复方案：

1. 内嵌 ActiveMQ 覆盖了外部连接配置 #

你的application.properties中设置了spring.activemq.in-memory=true，这会让Spring Boot自动启动内嵌的ActiveMQ实例，完全忽略你配置的外部ActiveMQ服务，因此activemq.xml里的安全规则根本没生效。

修复：
删除spring.activemq.in-memory=true配置项，强制Spring Boot连接外部ActiveMQ服务。

2. Broker URL 配置冲突且无效 #

application.properties中重复设置了spring.activemq.broker-url，最后一行的activemq.xml是无效值，会覆盖前面的TCP地址，导致连接逻辑异常。

修复：
保留正确的TCP地址，删除无效配置，最终Broker URL配置应为：

spring.activemq.broker-url=tcp://localhost:61616

3. ActiveMQ 安全配置冗余且缺少权限控制 #

你的activemq.xml中重复定义了SimpleAuthenticationPlugin（一个独立Bean，一个在Broker的plugins内），且仅配置身份验证，未添加权限授权规则，可能导致验证通过后无限制访问资源。

修复：

• 删除独立的<bean id="securityPlugin" ...>配置块，仅保留Broker内的simpleAuthenticationPlugin。
• 添加AuthorizationPlugin限制admins组的操作权限，确保授权用户才能执行生产、消费等操作。修改后的Broker配置如下：

<broker xmlns="http://activemq.apache.org/schema/core" brokerName="localhost" dataDirectory="${activemq.data}">
    <plugins>
        <simpleAuthenticationPlugin anonymousAccessAllowed="false">
            <users>
                <authenticationUser username="admin" password="password" groups="admins"/>
            </users>
        </simpleAuthenticationPlugin>
        <!-- 新增权限控制插件 -->
        <authorizationPlugin>
            <map>
                <authorizationMap>
                    <authorizationEntries>
                        <!-- 允许admins组访问所有队列和主题 -->
                        <authorizationEntry queue=">" read="admins" write="admins" admin="admins"/>
                        <authorizationEntry topic=">" read="admins" write="admins" admin="admins"/>
                    </authorizationEntries>
                </authorizationMap>
            </map>
        </authorizationPlugin>
    </plugins>
    <transportConnectors>
        <transportConnector name="openwire" uri="tcp://0.0.0.0:61616"/>
    </transportConnectors>
</broker>

4. 清理冗余配置 #

application.properties中重复设置了spring.activemq.pool.enabled=false，删除其中一个即可，保持配置简洁。

最终有效 application.properties 配置 #

spring.activemq.broker-url=tcp://localhost:61616
spring.activemq.user=admin
spring.activemq.password=password
spring.activemq.packages.trust-all=true
spring.activemq.packages.trusted=com.hfc.card.config
spring.activemq.pool.enabled=false
spring.activemq.pool.max-connections=10

验证方式 #

1. 重启外部ActiveMQ服务，确保activemq.xml配置生效。
2. 启动Spring Boot应用，尝试移除spring.activemq.user和spring.activemq.password配置，此时应用应抛出身份验证失败异常，说明安全验证已生效。

内容的提问来源于stack exchange，提问作者Om Prakash