ActiveMQ Artemis：如何强制消费者定期重新认证与授权？

在ActiveMQ Artemis中，当认证/授权缓存失效（默认10秒）且生产者正在活跃发送消息时，生产者会被重新授权。使用JWT令牌实现自定义安全管理器时，可借助这种定期重新授权机制检查生产者是否有权向地址发送消息（CheckType.SEND）。但我们发现，消费者的消息消费授权（CheckType.CONSUME）仅在其首次尝试订阅队列时进行一次，后续不会触发重新授权事件。我们在MQTT协议v2.42.0版本中观察到此现象，不确定其他协议是否存在差异。

请问：

1. 能否通过代理或地址配置强制消费者定期进行重新认证/授权？
2. 若无法实现，是否只能遍历所有连接的Subject，删除/销毁凭证已过期的Subject对应的队列？

配置层面的定期重授权可行性 #

目前ActiveMQ Artemis（包括2.42.0版本）没有直接的配置项可以强制消费者定期触发CheckType.CONSUME的重新授权，核心原因是：

• 消费者订阅队列后，Artemis默认将授权结果与订阅绑定，后续消息分发时不会重复触发授权检查，这是出于性能优化的设计。
• MQTT协议的会话机制（尤其是持久会话）会缓存订阅状态，进一步强化了“一次授权终身有效”的行为，除非会话断开重连。

你可以尝试调整以下参数间接优化，但无法实现完全的定期重授权：

• 修改security-cache-size和security-cache-timeout：这两个参数控制授权缓存的失效时间，但消费者只有在重新发起订阅请求时才会触发新的授权检查，而非主动定期校验。
• 启用validate-session（仅针对JMS）：MQTT协议不支持该参数，对当前场景无效。

替代方案：主动清理过期订阅 #

如果配置层面无法实现，遍历连接的Subject并清理过期凭证对应的队列/订阅是可行方案，需注意以下要点：

1. 关联Subject与订阅信息：
   • 通过Artemis的内部管理接口（ActiveMQServer相关API）获取所有活跃会话、订阅信息，绑定对应的Subject凭证（JWT过期时间）。注意直接操作内部API需谨慎，避免影响代理稳定性。
2. 安全清理订阅与队列：
   • 对于MQTT持久订阅，删除订阅时需同步清理对应队列（独占或共享订阅场景），避免消息堆积。优先通过管理控制台REST API或ServerLocator触发删除操作，而非直接操作内部对象。
3. 定时任务实现扫描：
   • 编写定时任务（如基于Quartz），定期扫描所有活跃订阅的凭证状态，发现过期的立即触发清理。建议将扫描周期设置为略短于JWT令牌过期时间，减少凭证过期但订阅仍存在的窗口。

额外优化：自定义安全管理器增强 #

你可以在自定义安全管理器中扩展逻辑：

• 在checkAuthorization方法中，针对CheckType.CONSUME，除检查缓存外，额外判断当前Subject的JWT是否过期，若已过期直接返回授权失败。
• 这种方式会在消息分发时触发校验，但需注意性能开销——每个消息都会触发校验，可能影响吞吐量。

内容的提问来源于stack exchange，提问作者TdBm