Azure Service Bus主题如何实现基于消息属性的访问控制

Azure Service Bus 原生权限体系（含Azure RBAC角色授权、共享访问签名SAS）不支持直接在主题层配置基于消息应用属性值的发送拦截规则。
原生权限的控制粒度仅到操作级：即只判断请求主体「是否拥有向该主题发送消息的权限」，授权校验发生在服务接收消息内容之前，不会解析消息携带的应用属性做规则匹配，因此无法靠服务自带的权限功能实现你说的属性校验逻辑。
你的需求可以通过前置校验层的方案落地，不需要拆分多个主题。

核心思路是收敛所有发往主题的请求入口，在消息进入Service Bus之前完成身份+属性的双重校验，从根源上拦截不符合规则的消息。

• 第一步：收敛Service Bus的访问权限
  移除所有发布者直连主题的发送权限，不管是SAS密钥还是Azure RBAC的Azure Service Bus Data Sender角色，全部回收，仅给你部署的校验层授予主题的发送权限。同时建议关闭主题的公网访问，仅允许校验层所在的虚拟网络通过私有端点连接Service Bus，彻底堵上发布者绕过校验直连发消息的路径。
• 第二步：部署前置校验层
  你可以选两种落地方式，不需要从零写复杂服务：
  • 方式1：使用Azure API Management（APIM）作为校验入口
    把Service Bus主题的发送接口封装为APIM托管的API，所有发布者只允许调用APIM的接口发消息：
    1. APIM层对接发布者身份体系，支持Azure AD认证、API密钥、OAuth2等多种身份识别方式，准确识别每个请求对应的发布者身份（比如你提到的标识A）
    2. 在APIM的入站策略中配置规则：针对每个发布者设置允许的消息属性约束，比如给标识A配置规则「必须携带应用属性Destination = 'service'」，支持多属性的与/或/正则匹配
    3. 请求到达APIM后，先校验发布者身份，再解析消息中的应用属性，和预设规则匹配：校验通过则把请求转发给后端Service Bus主题，校验不通过直接返回403错误拒绝请求
       参考校验策略片段如下：

    <inbound>
        <base />
        <choose>
            <when condition="@(
                context.User.Id == "标识A" 
                && (string)context.Request.Body.As<JObject>(preserveContent: true)["properties"]?["Destination"] != "service"
            )">
                <return-response>
                    <set-status code="403" reason="属性校验不通过" />
                    <set-body>当前发布者仅允许发送Destination属性值为service的消息</set-body>
                </return-response>
            </when>
        </choose>
    </inbound>
    

  • 方式2：自定义轻量网关服务
    如果需要更灵活的规则逻辑，可以自己开发一个无状态的网关服务，逻辑和APIM方案一致：接收发布者的发消息请求，做身份识别、属性规则校验，校验通过后用网关自己的权限凭证代发消息到Service Bus，校验失败直接拒绝。适合规则逻辑复杂、需要对接内部自定义系统的场景。

注意避坑：不要尝试用主题订阅的筛选器实现这个需求。订阅筛选器只控制消息是否投递到对应订阅，不符合筛选规则的消息只是不会被该订阅接收，依然会被写入主题，完全无法实现发送权限约束的效果，还会产生不必要的消息存储开销。

内容的提问来源于stack exchange，提问作者qvt