能否为MQTT Broker Mosquitto配置对接Keycloak的OAuth2身份验证？

核心结论 #

Mosquitto 原生没有内置 OAuth2 身份验证机制，但完全可以通过第三方认证插件实现和 Keycloak 服务器的对接，满足 MQTT 客户端的 OAuth2 身份验证需求。 #

常用实现方式 #

• 自定义开发认证插件：基于 Mosquitto 开放的 C 语言认证插件接口编写逻辑，获取 MQTT 客户端连接时携带的 Token（一般放在连接请求的 password 字段中），调用 Keycloak 的 Token 校验接口验证有效性，返回认证结果即可。
• 使用现成开源 OAuth2 插件：社区已有成熟的封装好的 Mosquitto OAuth2 认证插件，无需自行开发，只需要在 Mosquitto 配置文件中填写插件路径、Keycloak 相关参数即可直接使用。

核心配置要点 #

• MQTT 客户端侧：连接 Mosquitto 前需要先向 Keycloak 申请 Access Token，连接时将 Token 作为密码字段传入，用户名字段可根据配置填写 Keycloak 中的用户标识或固定值。
• 插件侧：需要配置 Keycloak 对应 Realm 的 Token 校验（Introspection）端点、用于调用校验接口的客户端 ID 和客户端密钥、提取用户信息的 Token 字段等参数。
• 权限控制扩展：如果需要限制不同客户端的主题订阅、发布权限，可以在 Token 校验通过后，解析 Keycloak 返回的 Token 中携带的权限标识，和客户端请求的主题做匹配校验。

配置文件示例（mosquitto.conf 片段） #

# 加载OAuth2认证插件
auth_plugin /usr/lib/mosquitto/plugins/auth_oauth2.so
# 配置Keycloak Token校验端点
auth_opt_oauth2_introspection_url https://keycloak.example.com/realms/your_realm/protocol/openid-connect/token/introspect
# 配置调用Keycloak接口的客户端凭证
auth_opt_oauth2_client_id mosquitto-broker
auth_opt_oauth2_client_secret xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
# 配置从Token中提取用户名的字段
auth_opt_oauth2_username_claim preferred_username
# 开启权限校验
auth_opt_oauth2_enable_acl true

内容的提问来源于stack exchange，提问作者tebartsch