JBoss EAP7.2 <security enabled="false"/>标签作用及SSL连接相关疑问

启用SSL连接broker时，是否需要移除<security enabled="false"/>标签 #

不需要。
这个标签和正在配置的传输层SSL能力属于完全独立的两个安全维度，不存在绑定依赖关系，不会因为启用SSL链路加密就必须调整这个消息子系统的配置项。

<security enabled="false"/>标签的实际用途与设计意义 #

• 该配置是JBoss EAP内嵌ActiveMQ Artemis消息子系统的全局消息访问授权总开关，设置为enabled="false"时，会完全跳过所有针对消息队列、broker管理资源的访问权限校验流程
• 你之前遇到的未配置该标签时连接报错、消息投递失败的问题，本质是默认配置下Artemis会对所有接入请求做权限校验，当Spring Boot应用使用的连接账号没有绑定对应队列的发送/消费权限时，就会直接抛出安全校验异常，这个开关就是用来快速跳过这层校验的
• 该配置的设计初衷是为开发、测试类非生产环境提供便捷调试能力：可以跳过繁琐的用户、角色、队列权限绑定流程，避免因为权限配置不全阻塞消息功能的联调进度

两类安全配置的边界说明 #

很多人容易把这两类配置搞混，实际二者控制的范围完全不重叠：

• 梳理的SSL配置流程（导入服务端证书、将连接协议从http-remoting替换为https-remoting、将连接端口从8080切换为8443），全部属于传输链路层的安全能力，作用是对客户端和broker之间的传输数据做加密，防范链路窃听、中间人篡改，整个过程不会触碰消息子系统的权限校验逻辑
• 哪怕开启了全链路SSL加密，如果没有给应用连接账号配置对应的队列操作权限，依然会触发之前的权限校验报错；反过来，就算关闭了消息级的权限校验，也不会影响SSL加密链路的正常建立

关于该配置的生产环境注意事项 #

当后续将应用部署到生产环境时，再根据安全要求将<security enabled="false"/>调整为启用状态即可：

• 为Spring Boot应用的连接账号分配对应队列的最小操作权限
• 开启全局权限校验，避免未授权客户端随意接入broker操作消息资源

内容的提问来源于stack exchange，提问作者Anirban