NanoMQ Newsletter 2022-11｜支持 ACL 访问控制、引入 HOCON 全新配置文件格式

• 需要从系统主题读取监控数据显示在控制台时，只允许用户名是 dashboard 的客户端订阅“$SYS/#”系统主题，忽略有非法操作的客户端：

## ACL 未命中时，允许或者拒绝 发布/订阅 操作
##
## Value: allow: 允许
##        deny:  拒绝
acl_nomatch=allow
## ACL 检查失败后，执行的操作。
##
## Value: ignore:     忽略
##        disconnect: 断开连接
acl_deny_action=ignore


# 允许用户名是 dashboard 的客户端订阅 "$SYS/#" 这个主题
acl.rule.1={"permit": "allow", "username": "dashboard", "action": "subscribe", "topics": ["$SYS/#"]}


# 拒绝其他所有用户订阅 "$SYS/#" 主题
acl.rule.2={"permit": "deny", "username": "#", "action": "subscribe", "topics": ["$SYS/#"]}

• 拒绝客户端 ID 为“malicious”和用户名为“unauthorized”的非法客户端向匹配“sensitive/#”和“Command/+/critical”的所有主题进行发布操作，并立刻断开有非法行为的客户端连接。

acl_nomatch=allow
acl_deny_action=disconnect


# 拒绝操作
acl.rule.1={"permit": "deny", "or" :["username": "unauthorized", "clientid": "malicious"], "action": "publish","topics": ["sensitive/#", "Command/+/critical"]}


# 前面的规则都没有匹配到的话，允许所有操作
acl.rule.2={"permit": "allow"}

秉承 EMQX 5.0 的先进设计，NanoMQ 也采用了标准的 HOCON（ Human-Optimized Config Object Notation/人性化配置对象表示法 ）作为配置文件格式。HOCON 是一种更适合人类阅读的数据格式，功能语法上是 JSON 和 properties 的一个超集，可以灵活拓展。它由 Lightbend 开发，同时也在 Sponge 和 Puppet 等项目中作为配置格式使用。

NanoMQ 为了保证项目原有的易移植性和高度兼容性，使用原生 C 语言开发实现了一个语法解释器来完成部分 HOCON 功能的解析并转换为 JSON 和内部结构体，使得用户能够在不引入其他依赖库的情况下也能使用 HOCON 风格的配置文件。从 0.14 版本开始，NanoMQ 以精简版本的 HOCON 格式为默认的配置文件。

但考虑到许多老用户仍然习惯于使用原有风格的配置文件，所以旧的配置文件也予以保留，可以通过 -old_conf
命令来读取旧的配置文件格式。

在 HOCON 格式中不需要再为多次出现的配置文件类目（如多个用户名密码键值对）增加数字下标。

# #============================================================
# # Authorization 
 #============================================================
auth [
{
login = "admin"
password = "public"
}
{ 
login = "client"
password = "public"
}
  ......
]

对于复杂的配置层级关系，如多路桥接不分，能看到有更加明晰易读的隶属关系。

bridges.mqtt {
  nodes = [
    {
      name = emqx1
      enable = true
      connector {
        server = "mqtt-tcp://127.0.0.1:1883"
      }
      forwards = ["topic1/#", "topic2/#"]
      subscription = [
        {
          topic = "cmd/topic1"
          qos = 1
        }
        {
                   (......)
        }
      ]
      parallel = 2,
      ssl {
        enable = false
        }
  }
  {
      name = emqx2
      enable = true
      connector {
        server = "mqtt-quic://127.0.0.1:14567"
      }
      forwards = ["topic1/#", "topic2/#"]
      subscription = [
        {
          topic = "cmd/topic1"
          qos = 1
        }
      ]
      (......)
  }
]

其余功能的配置选项也根据 EMQX 5.0 的版本发布略有更改，请查阅 NanoMQ 官方文档查看更改后的配置文件细则。

NanoMQ 本身运行占用资源极小，但自 0.11 版本起由于引入了 QUIC 功能，使得镜像大小大大增加。为了帮助习惯采用 Docker 部署方式的用户节省部署空间，从 0.14 版本开始，Dockerfile 改为采用交叉编译方式发布具有完整功能的 Release 镜像。这一操作使得完整版镜像的大小缩小了数十倍。默认拉取的 NanoMQ 的镜像地址改为以 Alpine-Linux 为 base image 的版本，大小仅为 3MB。

MQTT over QUIC 桥接功能一经推出便得到了广泛的试用和热烈反响，但之前此功能必须通过源码编译开启，对于新手使用较为不便。自 0.14 版本起，NanoMQ 会自动一起发布开启 QUIC 支持的 Docker 镜像和二进制安装包。用户只需下载带有 -msquic 后缀的安装包或拉取带有 -full 后缀的 Docker 即可：

## 内置开启QUIC桥接功能的二进制安装包
nanomq-0.14.0-linux-amd64-msquic.deb
## 内置开启QUIC桥接功能的Docker镜像
docker pull emqx/nanomq:0.14.0-full

cmake -G Ninja -DBUILD_SHARED_LIBS=ON ..
ninja