Mosquitto动态安全插件无法添加客户端/角色问题求助

问题情况 #

在Docker容器运行Mosquitto Broker，使用动态安全插件时碰到授权报错：

• 已执行 mosquitto_ctrl dynsec init path/to/dynamic-security.json user 成功生成dynamic-security.json文件，初始用户密码设为user
• 执行修改操作（比如mosquitto_ctrl -u user -P user dynsec createRole rolepizza）时，返回错误：Connection error: Not authorized

排查步骤 #

1. 核对mosquitto.conf插件配置 #

确认配置文件里正确加载了动态安全插件，并且配置文件路径是Docker容器内的有效路径：

# 加载动态安全插件
plugin /usr/lib/mosquitto_dynamic_security.so
# 指定容器内的配置文件路径
plugin_opt_config_file /mosquitto/config/dynamic-security.json

注意：如果是本地文件挂载到容器，要保证本地路径和容器内路径映射正确，比如启动容器时加 -v ./dynamic-security.json:/mosquitto/config/dynamic-security.json，此时配置里的路径必须是容器内的/mosquitto/config/dynamic-security.json

2. 检查初始用户的角色权限 #

初始化生成的dynamic-security.json里，初始用户默认应该关联dynsecAdmin角色，打开文件确认：

{
  "users": [
    {
      "username": "user",
      "password": "...",
      "roles": ["dynsecAdmin"]
    }
  ],
  "roles": [
    {
      "rolename": "dynsecAdmin",
      "acls": [
        {
          "acltype": "publishClientSend",
          "topic": "$CONTROL/dynamic-security/v1/#"
        },
        {
          "acltype": "subscribeLiteral",
          "topic": "$CONTROL/dynamic-security/v1/#"
        }
      ]
    }
  ]
}

如果初始用户没关联这个角色，手动添加后重启Mosquitto容器。

3. 确认mosquitto_ctrl的连接参数 #

如果Broker不是本地默认端口，命令里要指定正确的IP和端口：

mosquitto_ctrl -h <容器IP或宿主机映射IP> -p 1883 -u user -P user dynsec createRole rolepizza

要是Docker容器的1883端口没映射到宿主机，或者用了本地回环但容器不在同一网络，也会导致连接授权失败。

4. 检查容器内文件权限 #

确保dynamic-security.json在容器内的权限允许Mosquitto进程读写：
进入容器查看权限：

docker exec -it <你的mosquitto容器ID> ls -l /mosquitto/config/dynamic-security.json

权限不足的话，调整本地文件权限后重新挂载，或者在容器内修改权限。

5. 查看Mosquitto日志找细节 #

通过容器日志获取更具体的错误原因：

docker logs <你的mosquitto容器ID>

日志里会显示授权失败的具体触发点，比如路径错误、角色权限缺失等。

内容的提问来源于stack exchange，提问作者Rafael Rossales