1. 项目背景安全评审盯上了第 16 章的明文5672和promo/promo_dev_2026。生产网不能再靠 guest、不能把口令写进镜像也不能让所有微服务共用一个app_order直到离职都改不掉。多租户早已用 VHost 拆楼第 11 章缺的是链路上的加密和认证后端可轮换。4.x 认证是一条链auth_backends.1、.2……schema 把internal/ldap/http/oauth2/cache译成对应模块。还可以拆开authn 与 authz例如认证走 OAuth2授权仍走 internal 权限表。运维人员适合 LDAP 组映射应用适合短命 JWTOAuth2 插件校验签名与 scope。TLS 是另一层listeners.ssl默认 5671ssl_options配 CA/证书/私钥。管理面 HTTPS 与 AMQP TLS 不是自动同一套。mTLSfail_if_no_peer_cert给机器身份rabbitmq_trust_store方便轮换客户端 CA。证书过期全员连不上要比改密码更早进日历。痛点明文口令 guest ↓ 抓包即得离职改密要发版 ↓ 只开 TLS 仍用弱口令 ↓ OAuth2 配错 resource_server_id全员 JWT 被拒却当 MQ 挂了 ↓ LDAP 超时把内部用户也拖死链顺序错误本章实验室用自签证书不要把私钥提交 Git。错误 token 与过期证书必须有可重复用例安全才能签字。2. 项目设计小胖把小区门禁卡、身份证、加密对讲机摆一起。小胖这不就是换一把锁吗TLS 不就是 https 那套全部改 OAuth2运维也用 JWT还要 LDAP 干嘛过期证书提前续不就行测拒绝路径太消极了吧大师TLS 是通道加密对讲机防窃听OAuth2/LDAP 是你是谁门禁卡。运维要随人事进出LDAP 组一踢即失效应用要随发布轮换JWT 短命scope 比共用口令安全。两套后端是两种生命周期不是重复建设。过期证书测试是消防演习续期流程失败时值班必须认识报错而不是第一次在大促早上见。技术映射TLS传输auth backend身份VHost/topic permission授权trust_store客户端 CA 轮换。小白mTLS 和应用 JWT 是否重复verifyverify_peer不配 CA 会怎样管理 UI 仍 HTTP 算过关吗OAuth2 scope 如何映射 configure/write/readLDAP 绑不上时 internal 还能登吗cache 插件缓存拒绝会不会让刚转正的人进不去guest 远程CSRF大师mTLS 证明这台机器JWT 证明这个服务账号可叠加。verify_peer 无 CA 会握手失败。管理面生产必须 HTTPS实验室 15672 明文只标风险。OAuth2 用 scope 前缀如rabbitmq.read:*/*进rabbit_oauth2_scope配错 resource_server_id 则全部 mismatch。后端链从前往后OAuth2 失败再试 LDAP/internal若 LDAP 在第一且超时登录变慢——运维链要短超时。cache 要设 TTL拒绝缓存过久会误伤。loopback_users.guest实验室 true、生产禁止 guest。管理插件注意 CSRF 与默认用户清理。小胖实验openssl 自签 → 开 5671 → pika SSL 能连、明文 5672 可关或只留本机。再配 oauth2 签名钥错误 token 拒绝用过期证书打第二条。LDAP 写 conf 指向实验室 OpenLDAP 或明确「预发再接」但链上预留auth_backends.2 ldap。大师关闭 5672 前确认所有应用改端口否则等于自攻。实验室可并存 5672/5671检查单写「生产关明文」。技术映射listeners.sslssl_optionsauth_backends.$numauth_oauth2.*。小白证书轮换要重启吗trust_store 热加载JWT 过期中途会踢连接吗expiry_timestamp是什么多租户 topic permission 还要吗大师服务端证书替换常需重启或谨慎热更以发行版为准trust_store 设计就是少重启换客户端 CA。OAuth2 模块导出expiry_timestamp连接可在 token 过期后被拒刷新。VHost 与 topic permission 仍然要认证过了不等于能写stock.#以外的 Topic。安全是叠层不是替换。小胖检查单TLS 握手成功错 token 失败过期 cert 失败guest 不在生产清单definitions 不含私钥。3. 项目实战3.1 环境准备# promo-mq/ch25/certs/make-certs.shmkdir-pcertscdcerts openssl req-new-x509-days365-nodes\-outca.pem-keyoutca-key.pem-subj/CNpromo-lab-caopenssl req-new-nodes-outserver.csr-keyoutserver-key.pem-subj/CNrabbit-promo-n1openssl x509-req-inserver.csr-CAca.pem-CAkeyca-key.pem-CAcreateserial\-outserver.pem-days365# 过期证书-startdate/-enddate 或 days0 的实验证openssl req-new-nodes-outexp.csr-keyoutexp-key.pem-subj/CNexpired-clientopenssl x509-req-inexp.csr-CAca.pem-CAkeyca-key.pem-CAcreateserial\-outexp.pem-days-1部分 openssl 对-days -1行为不同可用-startdate 20200101000000Z -enddate 20200102000000Z。私钥权限 600不要提交仓库。3.2 步骤一启用 TLS 监听# conf.d/30-tls.conf listeners.ssl.default 5671 ssl_options.cacertfile /certs/ca.pem ssl_options.certfile /certs/server.pem ssl_options.keyfile /certs/server-key.pem ssl_options.verify verify_peer ssl_options.fail_if_no_peer_cert false # 管理 HTTPS 另配 management.ssl.* 本场先保证 AMQP TLSCompose 把./certs挂进/certs:ro。先fail_if_no_peer_cert false只加密不强制客户端证mTLS 第二阶段再开。# promo-mq/ch25/connect_tls.pyimportssl,pika ctxssl.create_default_context(cafilecerts/ca.pem)# 实验室 CN 与主机名不一致时可 ctx.check_hostname False生产禁止偷懒paramspika.ConnectionParameters(127.0.0.1,5671,order,pika.PlainCredentials(app_order,ord_dev_2026),ssl_optionspika.SSLOptions(ctx,rabbit-promo-n1))cpika.BlockingConnection(params)print(tls ok)c.close()运行结果打印tls ok。坑证书 CN/SAN 与客户端校验主机名不一致。坑文件权限或路径错误Broker 起不来看日志 SSL。坑仍连 5672 以为 TLS 生效。3.3 步骤二过期证书拒绝路径把客户端换成exp.pem并fail_if_no_peer_certtrue或服务端只信任未过期。期望握手失败进程非 0。记下报错关键字给值班。演示完改回 false避免锁死实验室。运行结果TC-CH25-exp 失败符合预期。坑系统时钟不对导致「未过期也失败」。3.4 步骤三OAuth2 应用认证启用插件rabbitmq_auth_backend_oauth2。实验室用对称/非对称签名钥rabbitmqctl add_signing_key一类命令以 4.4 CLI 为准或 confauth_backends.1 oauth2 auth_backends.2 internal auth_oauth2.resource_server_id rabbitmq # preferred_username_claims 等按发行版文档应用用 JWT 当密码机制PLAIN用户名token 或插件要求的机制以文档为准。Python 用PyJWT签一条错误 audience/过期 token# promo-mq/ch25/bad_token.pyimportjwt,pikafrompika.exceptionsimportProbableAuthenticationError tokenjwt.encode({sub:app_order,exp:1,aud:wrong},not-the-key,algorithmHS256)try:pika.BlockingConnection(pika.ConnectionParameters(127.0.0.1,5671,order,pika.PlainCredentials(app_order,token),ssl_options...))print(UNEXPECTED)exceptExceptionase:print(rejected,type(e).__name__)运行结果refused不是 Broker 崩溃。正确 token 路径在预发接公司 IdP实验室可用插件测试套件同款 JWKS mock不强制本章起 Keycloak。坑resource_server_id 与 token 不一致正确 token 也会拒。坑链上只留 oauth2、internal 被关掉运维救急账号失效。3.5 步骤四LDAP 给运维auth_backends.1 oauth2 auth_backends.2 ldap auth_backends.3 internal # auth_ldap.servers.1 ldap.promo.lab # auth_ldap.user_dn_pattern cn${username},ouops,dcpromo,dclab实验室可起osixia/openldap做选做最低要求是conf 进仓库且预发联调记录。超时要短避免 LDAP 挂了卡住全部登录。组映射到 management 标签monitoring/administrator走 LDAP 插件配置禁止给应用账号 administrator。运行结果运维账号走 LDAP 绑组应用不进 LDAP。坑把应用也指到 LDAP发版账号依赖人事目录。3.6 步骤五管理面与清理生产management.ssl证书。删除/禁用 guest。应用无administrator标签第 11、16 章。topic permission 继续限制stock.#。definitions 导出检查无私钥、URI 密码已脱敏。dockerexecrabbit-promo-n1 rabbitmqctl list_usersdockerexecrabbit-promo-n1 rabbitmqctl authenticate_user app_orderwrong3.7 源码对照能力模块TLS 套接字rabbit_ssl.erl/ ranch sslJWT 认证授权rabbit_auth_backend_oauth2.erlscoperabbit_oauth2_scope.erlLDAPdeps/rabbitmq_auth_backend_ldap/HTTP 后端rabbitmq_auth_backend_http缓存rabbitmq_auth_backend_cache客户端 CArabbitmq_trust_store链顺序由rabbit.auth_backends决定。cache 包在其它后端外层TTL 配错会缓存 refuse。3.8 完整代码清单promo-mq/ch25/ certs/make-certs.sh # 生成物 gitignore connect_tls.py bad_token.py expired_cert.py conf.d/30-tls.conf conf.d/40-auth.conf column/samples/ch25/3.9 测试验证编号名称期望TC-CH25-01TLS5671 握手成功TC-CH25-02错 token认证失败TC-CH25-03过期证书握手失败TC-CH25-04guest生产清单不存在TC-CH25-05应用无管理员标签list_usersTC-CH25-06明文 5672生产关闭或仅内网值班检查单证书到期日历token 发行方变更窗口LDAP 超时私钥不进 Git。握手失败先看时钟与 SAN再猜后端。OAuth2 全员失败时用 internal 救急账号需变更审批不要当场关 TLS。多租户仍按 VHost 计费与隔离TLS 不能替代第 11 章。trust_store 轮换客户端 CA 要在预发走过不要生产第一次热加载。安全评审材料附TLS 协议版本禁 SSL3、错 token 日志样例、过期证书报错样例、后端链顺序图。缺样例未验收。应用 JWT 的 scope 最小集写进各服务 README禁止rabbitmq.*万能 scope。运维 LDAP 组与monitoring标签对照表进人事 onboarding。证书与密钥轮换 SOP 单独成页到期前 30/14/7 天告警替换服务端证书的维护窗口与 drain第 17 章一起做客户端 trust_store 增加新 CA 要先双 CA 再撤旧。OAuth2 的 resource_server_id 变更等于全体应用发版禁止周末随手改。LDAP 演习故意填错 bind DN确认应用仍能靠 oauth2 或 internal 登录运维登录失败符合预期。把 guest 从list_users消失作为生产放行门禁与第 16 章检查单合并。联邦与 Shovel 的 URI 在第 21 章是明文密码本章之后必须改amqps://并专用账号否则跨机房等于把口令送出机房。多租户 topic permission 不因 TLS 而放宽营销仍不能写订单 Direct。管理面 CSRF 与默认用户清理按发行版清单打勾不要只开 15671 就算安全完成。自签 CA 只用于实验室。预发接公司 PKI。谁把certs/ca-key.pem推进 Git按泄露 cookie 同等事故处理。错误 token 用例的密钥也要用专用 lab secret不要拿生产 JWKS 私钥去签测试 token。过期证书文件标注「仅负例」避免有人配进 compose 当正常服务端证第二天全集群起不来。认证链的排障口诀先 TLS 是否握手再用户是否被某一后端 refused再 VHost 权限是否 403。三层报错词不同不要一律重启 Broker。OAuth2 调试打开插件 debug 只限实验室结束改回避免 token 片段进日志第 15 章。LDAP 绑定时用只读账号禁止 Broker 用目录管理员 DN。mTLS 开启后CI 流水线也要带客户端证否则「本地能连、流水线不能连」会拖发布。证书 SAN 写集群每个节点主机名与 LB 名称只写 IP 会在弹性扩容时失败。轮换顺序先加新证到 trust_store再切服务端再撤旧禁止先撤后加。内部用户救急包密封在密码柜封条与审批流用一次换一次。把第 11 章 topic permission 回归套进本章 CI证明加了 TLS 没有人「顺便」放开正则。安全培训用错 token 比讲 RFC 更有效现场一人改 aud、一人改 exp、一人改签名三张失败截图进附录。生产关闭 5672 要有灰度先 LB 摘明文端口观察错误率再关监听。应用连接串统一走 amqps 与 5671。谁硬编码 5672代码扫描失败。OAuth2 时钟偏移超过几分钟会让未过期 token 被拒NTP 是安全依赖不只是运维依赖。LDAP 分组名与 VHost 名不要用同一字符串「图省事」人事改组名会误伤租户。cache 后端的 TTL 短于最短 JWT 寿命避免吊销后仍能进。这些写进安全基线比再开一次会有效。应急手册写明IdP 宕机时应用不可用是可接受的短命 token 的代价但运维必须仍能 LDAP 或 internal 登管理面做 drain。不要把三条后端全指向同一 IdP。证书过期演练每年两次选非大促日用预发过期证打真实握手把报错贴进知识库检索词。「unknown ca」「certificate has expired」「ACCESS_REFUSED」分三条 SOP值班照表问。多租户上新 VHost 时安全清单含TLS 已开、无 guest、应用 scope 不含别人的 VHost、运维组已映射。缺一项不开通。与第 21 章联邦账号同步升级为 amqps明文 URI 扫描进 CI。到此生产网的认证授权才配得上前面的 quorum 与联邦而不是裸口令跑金融级队列。4. 项目总结优点与缺点形态优点缺点TLS 内部用户防窃听改动小口令仍要轮换应用 OAuth2短命、可吊销依赖 IdP运维 LDAP人事同步目录可用性全走一种后端简单生命周期不匹配优点1通道与身份分离。2拒绝路径可测。3与 VHost 叠层。缺点1证书与 IdP 成新单点。2链顺序配错难排。3实验室自签不能当生产。对比「只靠 VPC」内网仍要加密与最小权限抓包与误连隔壁租户都发生过。适用场景生产 AMQP 出机房或跨网。微服务身份用公司 IdP。运维账号走 AD/LDAP。不适用实验室自签当正式 CA把 OAuth2 万能 scope 发给每个服务关 internal 却无救急。注意事项私钥与 cookie 同等机密。4.x auth_backends 短名见 schema。管理 HTTPS 单独配。安全guest、默认口令、CSRF。常见踩坑生产只开 TLS口令仍是 promo_dev。根因加密≠授权。处理轮换OAuth2。LDAP 放链首且无超时IdP 抖动登录全挂。根因链顺序。处理应用 oauth2 优先LDAP 短超时。证书到期当天全集群无法握手。根因无演习。处理过期证书用例进 CI 日历。思考题authnOAuth2、authzinternal 时JWT 里的 scope 还生效吗权限以谁为准联邦/Shovel 跨集群 URI 要不要同样 TLS专用账号证书主机名用 IP 还是 SAN第 21 章 URI授权模型。推广计划提示部门本章怎么用协作安全主签拒绝路径证书日历运维TLS 与 LDAP救急账号开发JWT 获取与刷新最小 scope测试TC-CH25-02/03不提交私钥中级篇安全底座到此。第 26 章才允许谈滚动升级——带着明文 guest 升级不是进步。附录 C第 24 章思考题参考答案题 1共享连接 Alarm。blocked 是连接级同一 TCP 上的支付与触达 Channel 一起停写。拆成两条连接更好两条池支付与营销分离告警面隔离。第 4、16 章已要求双 VHost 双连接本章证明流控也要求拆。题 2wal 滚动与 Confirm 延迟。预发在内存告警或强制滚动窗口打点发布 Confirm 耗时直方图、rabbitmq_prometheusRaft/wal 相关指标第 27 章。对比滚动前后 p99。不要在生产拧水位做实验。量化结论写入容量文档告警期间支付 RTO 包含 Confirm 拉长客户端超时要大于该 p99。延伸阅读与资源SQLAlchemy 2.0从入门到进阶的实战之旅Dify 从入门到进阶LLM 应用平台实战修炼Java 工程师进阶从 JVM 生产排障到OpenJDK原理NumPy 从入门到生产落地全链路实战指南科学计算/向量化Redis 8 实战精讲从 CRUD 到源码构建高可用缓存系统Redis 实战修炼与原理进阶Python 3实战精进从脚本到高并发订单引擎python入门Rquests从菜鸟脚本到企业级SDK的网络实战圣经Milvus向量数据库实战修炼从 0 到 1精通向量检索与生产落地MongoDB 实战进阶与内核修炼后端工程师的 AI 转型第一课Ollama 与私有化大模型实战10倍开发者的 Dify 魔法书从零构建全栈 AI 应用后端工程师转型AI第一课-Ollama 与私有化大模型实战大型语言模型(LLM) vLLM 高性能推理落地实战Agent开发之LlamaIndex 实战修炼与源码进阶大语言模型Transformers 实战修炼与源码剖析