ActiveMQ运行时撤销角色未更新：已撤权用户仍可访问队列

我之前也碰到过类似的ActiveMQ权限重载不生效的坑，结合你的测试步骤和配置来看，问题大概率出在授权缓存未刷新或者现有会话未失效上，咱们一步步来解决：

可能的原因分析 #

1. 授权插件的缓存机制：默认的authorizationPlugin会把权限映射缓存起来，即使你通过runtimeConfigurationPlugin重载了broker配置，授权插件本身可能没有主动刷新内部的权限缓存，导致旧的权限规则还在生效。
2. 已建立会话的权限保留：User-A之前已经建立了有效的连接（Connection）和会话（Session），ActiveMQ默认不会主动终止已认证通过的会话，所以即使权限被撤销，用户用旧会话依然能继续操作队列。

具体解决方案 #

1. 给授权映射添加自动刷新周期 #

在authorizationMap里配置refreshCheckPeriod参数，让它定期检查并重新加载授权配置，这样修改后的权限规则会自动生效：

<authorizationPlugin>
  <map>
    <authorizationMap refreshCheckPeriod="1000"> <!-- 每隔1秒刷新一次权限映射 -->
      <authorizationEntries>
        <authorizationEntry topic="ActiveMQ.Advisory.&gt;" read="admins" write="admins" admin="admins"/>
        <authorizationEntry queue="test.queue.A&gt;" read="admins" write="admins" admin="admins"/>
      </authorizationEntries>
    </authorizationMap>
  </map>
</authorizationPlugin>

这个参数会让授权地图每隔指定毫秒重新读取配置，撤销权限后，等待几秒缓存就会更新。

2. 失效用户的现有会话 #

即使权限缓存刷新了，用户之前建立的连接还是会沿用旧的权限，因为ActiveMQ不会主动踢掉已认证的会话。你需要：

• 登录ActiveMQ管理控制台，找到User-A的连接，手动断开它；
• 或者通过JMX调用BrokerViewMBean的removeConnection方法来终止连接；
• 如果是你的应用客户端，可以在权限变更时主动断开用户连接，强制重新登录，新会话会使用更新后的权限。

3. 确认Runtime配置的有效性 #

检查你的runtimeConfigurationPlugin是否正确配置，确保它在broker的plugins列表中，并且checkPeriod参数生效：

<broker xmlns="http://activemq.apache.org/schema/core" start="false" ... > 
  <plugins> 
    <runtimeConfigurationPlugin checkPeriod="1000" /> 
    <!-- 授权插件放在runtime插件后面也没问题，但要确保顺序正确 -->
    <authorizationPlugin>
      <!-- 你的授权配置 -->
    </authorizationPlugin>
  </plugins> 
  ... 
</broker>

注意：部分旧版本的ActiveMQ中，runtime插件对授权插件的支持需要确保broker的start="false"配置正确，这点你已经做到了。

验证步骤 #

修改完配置后，按以下流程测试：

• 修改授权映射，移除User-A的权限；
• 等待1-2秒（对应refreshCheckPeriod的时间）；
• 断开User-A的现有连接，让用户重新登录；
• 尝试访问test.queue.A，此时应该会被拒绝访问。

内容的提问来源于stack exchange，提问作者learner