使用用户名和密码身份验证保护 MQTT

身份验证是识别用户并验证他们是否有权访问系统或服务器的过程。它是一种安全措施，可以保护系统免受未经授权的访问，并保证只有有效用户才能使用该系统。

鉴于物联网行业的广泛性，验证那些寻求访问其基础设施的人的身份至关重要。未经授权的进入会造成重大的安全威胁，必须加以防止。这就是为什么物联网开发人员应该对各种身份验证方法有全面的了解。

今天，我将解释MQTT中的认证是如何工作的，它解决了哪些安全风险，并介绍第一种认证方式：基于密码的认证。

MQTT 中的身份验证是什么？
MQTT 中的身份验证是指在允许客户端或代理与 MQTT 网络建立连接或交互之前验证其身份的过程。它只是关于连接到 broker 的权限，与authorization分开，它决定了客户端可以发布和订阅哪些主题。授权将在本系列的另一篇文章中讨论。

MQTT broker主要通过以下方式对客户端进行认证：

基于密码的身份验证：代理验证客户端是否具有正确的连接凭据：用户名、客户端 ID 和密码。经纪人可以根据密码验证用户名或客户 ID。
增强型身份验证 (SCRAM)：这使用称为加盐挑战响应身份验证机制的基于来回挑战的机制对客户端进行身份验证。
其他方法包括基于令牌的身份验证（如 JWT）以及 HTTP 挂钩等。
在本文中，我们将重点介绍基于密码的身份验证。

基于密码的身份验证
基于密码的身份验证旨在通过验证连接方是否具有正确的密码凭据来确定连接方是否合法。

在MQTT中，基于密码的认证一般是指使用用户名和密码对客户端进行认证，这也是推荐的。但在某些场景下，有些客户端可能没有携带用户名，因此客户端ID也可以作为唯一标识来表示身份。

当MQTT 客户端连接到代理时，它会在 CONNECT 数据包中发送其用户名