WebSocket下MQTT客户端AccessToken通过Broker验证失败求助

一、先查Mosquitto配置是否到位 #

首先确认你的Mosquitto broker是否正确关联了Keycloak的认证逻辑，常见配置错误点：

• 没开allow_anonymous false：如果匿名访问还开着，认证规则根本不会触发
• JWKS端点配置错误：Keycloak的JWKS地址格式是http://keycloak_addr:8080/realms/<你的领域名>/protocol/openid-connect/certs，别写错
• 认证字段设置错了：Mosquitto需要知道从JWT的哪个claim取用户标识，Keycloak默认用sub，要对应配置auth_opt_username_claim sub
• ACL规则缺失：就算认证过了，没有对应主题的读写权限，连接后也会被直接断开

二、Python脚本的核心问题修正 #

1. Token传递方式完全错了 #

你把access token当成client id用（不管是脚本里还是mosquitto_pub命令），这是根本错误——client id是客户端的唯一标识，不是认证凭证。正确做法是把token放在用户名或密码字段里（取决于Mosquitto的配置项）。

修正后的Python脚本示例：

import paho.mqtt.client as mqtt

# 替换成你的有效access token
access_token = "eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6IC..."

def on_connect(client, userdata, flags, rc):
    if rc == 0:
        print("连接成功")
        client.subscribe("test")
    else:
        print(f"连接失败，错误码：{rc}")

# 这里用正常的客户端ID，比如raspberry_pi_01，别用token
client = mqtt.Client(client_id="raspberry_pi_client")
# 将access token作为用户名传入（如果Mosquitto配置的是从密码字段取，就换password参数）
client.username_pw_set(username=access_token, password=None)
client.on_connect = on_connect

client.connect("broker_addr", 1883, 60)
client.loop_forever()

2. 先确认Token本身有效 #

别上来就查代码，先验证你的access token是不是真的能用——用Keycloak的 introspect 端点检查：

curl -X POST http://keycloak_addr:8080/realms/<你的领域名>/protocol/openid-connect/token/introspect \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id=<你的MQTT客户端ID>&client_secret=<你的客户端密钥>&token=<你的access token>"

返回结果里active必须是true，而且aud要和你Keycloak里配置的MQTT客户端ID一致，iss地址也要正确。

3. 连接断开的常见诱因 #

• Token格式不对：别带多余空格、换行，要完整复制JWT字符串
• Mosquitto认证插件没加载：去看Mosquitto日志（/var/log/mosquitto/mosquitto.log），有没有插件加载失败、认证请求报错的信息
• 权限没开：检查ACL文件，确保当前用户（对应JWT里的sub值）能访问test主题

三、修正mosquitto_pub命令 #

把token放到用户名参数里，client id用正常标识：

sudo mosquitto_pub -h broker_addr -p 1883 -u <你的access_token> -P "" -t test -m "Hi" -i "raspberry_pub_01"

-P ""是空密码（如果你的Mosquitto配置用密码字段存token，就把token放这里，用户名留空）。

四、标准Mosquitto配置参考 #

确保你的mosquitto.conf包含这些关键项：

allow_anonymous false
listener 1883

# 用auth-plug插件做JWT认证（如果用官方JWT插件，配置略有不同）
auth_plugin /usr/lib/mosquitto/auth-plug.so
auth_opt_backends jwt
auth_opt_jwks_url http://keycloak_addr:8080/realms/your_realm/protocol/openid-connect/certs
auth_opt_username_claim sub
# 可选：验证token的受众
auth_opt_required_aud your_mqtt_client_id
# ACL规则文件路径
acl_file /etc/mosquitto/acl.conf

对应的acl.conf示例（允许所有认证用户读写test主题）：

user %u
topic readwrite test

内容的提问来源于stack exchange，提问作者LailaA.