在閱讀該教程之前，假定你已經瞭解 [MQTT](http://docs.oasis-open.org/mqtt/mqtt/v3.1.1/os/mqtt-v3.1.1-os.html)、[EMQ X](https://github.com/emqx/emqx) 的簡單知識。

*[emqx_auth_http](https://github.com/emqx/emqx-auth-http/)* 它將每個終端的**接入認證**、**訪問控制**事件拋給使用者自己的 *WebServer* 以實現接入認證和ACL鑑權的功能。其架構邏輯如下：
![emqx_auth_http.png](http://admin.emqx.io/_uploads/PHOTO/3de6174eabcbbd4b2ad500f12f727f5f.png)

**emqx_auth_http* 主要處理的事情有：**

1. 認證：每當終端一個CONNECT請求上來時，將其攜帶的 ClientId、Username、Password 等引數，向使用者自己配置Web Services 發起一個認證請求。成功則允許該終端連線！
2. ACL：每當終端執行 PUBLISH 和 SUBSCRIBE 操作時，將 ClientId 和 Topic 等引數，像使用者自己配置 Web Services 發起一個 ACL 的請求。成功則允許此次 PUBLISH/SUBSCRIBE

實際上，在 EMQX 的叢集裡面，emqx_auth_http 對於使用者的 Web Services 來講只是一個簡單的、無狀態的 HTTP Client，他只是將 EMQX 內部的登入認證、和ACL控制的請求轉發到使用者的 Web Services，並做一定邏輯處理而已。

## 外掛配置項說明

在這裡給出了其3.1.0版本的預設配置檔案，雖然看著內容比較多，其實只是配置了 三個 HTTP Request 的引數

- 終端接入認證(auth_req)
- 判斷是否為超級使用者(super_req)
- ACL請求(acl_req)

其中，我們以認證為例，其每項分別代表了：

| 配置項                    | 說明                                                        |
| ------------------------- | :---------------------------------------------------------- |
| auth.http.auth_req        | 配置 auth_req 請求所需要訪問的 URL 路徑地址                 |
| auth.http.auth_req.method | 配置 auth_req 請求所使用的 HTTP Method，僅支援 GET/POST/PUT |
| auth.http.auth_req.params | 配置 auth_req 請求所攜帶的引數列表                          |

而對於其中 params 項中，支援各種引數佔位符，其含義見配置檔案註釋。例如：

```shell
auth.http.auth_req.params = clientid=%c,username=%u,password=%P
```

其代表的含義是，auth_req 包括三個引數，這個三個引數的 key 分別是 `clientid` `username` `password` 其值分別會替換為終端在接入時其真實的 `ClientId` `Username` `Password`

預設的所有配置如下：

```shell
##--------------------------------------------------------------------
## Authentication request.
##
## Variables:
##  - %u: username
##  - %c: clientid
##  - %a: ipaddress
##  - %P: password
##  - %cn: common name of client TLS cert
##  - %dn: subject of client TLS cert
##
## Value: URL
auth.http.auth_req = http://127.0.0.1:8991/mqtt/auth
## Value: post | get | put
auth.http.auth_req.method = post
## Value: Params
auth.http.auth_req.params = clientid=%c,username=%u,password=%P

##--------------------------------------------------------------------
## Superuser request.
##
## Variables:
##  - %u: username
##  - %c: clientid
##  - %a: ipaddress
##
## Value: URL
auth.http.super_req = http://127.0.0.1:8991/mqtt/superuser
## Value: post | get | put
auth.http.super_req.method = post
## Value: Params
auth.http.super_req.params = clientid=%c,username=%u

##--------------------------------------------------------------------
## ACL request.
##
## Variables:
##  - %A: 1 | 2, 1 = sub, 2 = pub
##  - %u: username
##  - %c: clientid
##  - %a: ipaddress
##  - %t: topic
##
## Value: URL
auth.http.acl_req = http://127.0.0.1:8991/mqtt/acl
## Value: post | get | put
auth.http.acl_req.method = get
## Value: Params
auth.http.acl_req.params = access=%A,username=%u,clientid=%c,ipaddr=%a,topic=%t
```

## 如何返回

在瞭解瞭如何配置 `emqx_auth_http` 外掛後，剩下關鍵的是 *Webserver* 如何返回成功或者失敗。

#### 認證

認證成功：

```
HTTP Status Code: 200
```

忽略此次認證

```
HTTP Status Code: 200
Body: ignore
```

錯誤

```
HTTP Status Code: Except 200
```

#### 超級使用者

確認為超級使用者:

```
HTTP Status Code: 200
```

非超級使用者

```
HTTP Status Code: Except 200
```

###

#### ACL鑑權

允許PUBLISH/SUBSCRIBE：

```
HTTP Status Code: 200
```

忽略此次鑑權:

```
HTTP Status Code: 200
Body: ignore
```

拒絕該次PUBLISH/SUBSCRIBE:

```
HTTP Status Code: Except 200
```

------

歡迎關注我們的開源專案 [github.com/emqx/emqx](https://github.com/emqx/emqx) ，詳細文件請訪問 [官方文件](https://docs.emqx.io/broker/cn)。

![二維碼](http://admin.emqx.io/_uploads/PHOTO/b99a97727d6f86a9912846e145b8b124.jpg)

EMQX_AUTH_HTTP 認證外掛使用指南

相關文章