Mosquitto 1.5 发布全解：从性能优化、灵活认证到 MQTT 5.0 路线图

2018 年 5 月，Eclipse Mosquitto 官方发布新闻稿，宣布开源 MQTT Broker 推出 1.5 版本，并同步公开了 MQTT 5.0 兼容版本的技术路线图与德国公司 Cedalo AG 的商业赞助消息。本篇技术指南以该新闻稿为骨架，结合仓库中同期发布的版本发布说明、配置示例与客户端库源码，逐项拆解 1.5 版本在性能、认证授权、队列控制、客户端库 API 等维度的真实改动，并梳理 MQTT 5.0 六大方向性特性在后续代码中的落地证据，帮助你完整掌握这次"承上启下"的里程碑版本。

新闻背景：1.5 版本发布与 Cedalo AG 商业赞助

根据仓库中存档的 press-release.md，此次新闻稿披露了三件核心事实：

• Mosquitto 1.5 正式发布：新版本带来大量 broker 改动，包括性能提升、更灵活的认证与访问控制，以及大量缺陷修复；客户端库新增若干辅助函数，可用来构建"极其简单"的 MQTT 客户端。
• MQTT 5.0 路线图公开：官方估计 MQTT 5.0 兼容版本将于 2018 年 8 月底发布。MQTT v5 被描述为协议自首个公开规范发布以来最重大的一次修订，涵盖错误报告（error reporting）、服务端可扩展性增强、面向资源受限客户端的功能，以及可扩展元数据（其中用于引入请求/响应能力）。
• 商业赞助落地：Mosquitto 项目的发起人与核心开发者 Roger Light 受雇于德国公司 Cedalo AG（流式计算 IoT 建模工具 "Streamsheets" 的开发者），以赞助方式加速 Mosquitto 的持续开发与新版本发布节奏。

新闻稿在仓库中并非孤立存在——同目录下的 version-1-5-released.md 给出了 1.5 版本的完整改动清单（发布日期 20180502），正文中的所有功能描述都可以在这份清单与源码中找到一一对应的实现证据。

Mosquitto 1.5 版本特性深度拆解

安全修复：恶意 CONNECT 报文导致的内存泄漏

1.5 修复了一个由恶意 CONNECT 报文引发的内存泄漏问题（当时尚未分配 CVE 编号，对应 Eclipse bugtracker 的 #533493）。这类问题直接关系到 broker 的健壮性——MQTT broker 面向公网时，CONNECT 是最先接触不可信输入的入口，任何资源泄漏都可能被用于耗尽服务端内存。

认证与访问控制：更灵活的多监听器安全模型

1.5 在安全领域引入了多项关键改动，全部可以在 src/conf.c 的配置解析逻辑与默认配置中找到佐证：

• per_listener_settings（按监听器认证）：允许为每个 listener 分别配置认证与访问控制。配置解析在 src/conf.c 中实现，且强制要求"必须早于其他安全选项之前设置"，否则报错；同时引入 global_plugin 概念，使 per_listener_settings true 时仍可声明全局生效的插件。默认配置文件中同样给出了 #per_listener_settings false 的注释示例。
• use_subject_as_username（证书主题作为用户名）：基于证书的客户端认证中，可将完整证书 subject 作为用户名，而不只是 CN 字段。对应解析在 src/conf.c。
• allow_anonymous 行为变更：旧行为是"未设置则默认允许匿名访问"；新行为是"除非设置了其他安全选项，否则默认允许匿名"。例如设置了 password_file 而未显式设置 allow_anonymous 时，匿名访问将被拒绝（仍可显式设置以恢复允许）。该默认值推导逻辑位于 src/conf.c。
• 拒绝 SUBSCRIBE 的能力：在原有 read/write 权限之外，新增对 SUBSCRIBE 消息的访问控制（当前仅对 auth 插件生效），为 ACL 体系提供了第三类动作维度。

性能优化：malloc 削减与消息路径精简

新闻稿强调的"性能提升"在发布说明中有具体落点：

• UHPA（统一头池分配）减少 malloc 调用：通过复用统一的内存头结构，显著降低高频路径上的动态分配次数。
• 消息接收与存储路径减少不必要的 malloc/memcpy（对应 #470258）。
• QoS>1 消息重试策略变更：带 QoS 的出站消息不再在超时后重试，而是改为在客户端重连时重试。发布说明给出了合理解释：若连接已悄然断开，重连时本就该重发；若客户端过载或连接缓慢，额外发送重复 PUBLISH/PUBREL 也无助于其追赶积压。这一行为同时作用于 broker 与客户端库。

队列控制：按真实字节数限制队列

1.5 新增 max_queued_bytes 配置项（对应 Eclipse #452919 / GitHub #100），允许按"真实大小"而非仅按消息条数限制队列；并修复了 queue_qos0_messages 未遵守 max_queued_* 限制的缺陷。默认配置示例见 mosquitto.conf，解析逻辑在 src/conf.c。两个维度可同时设置，任一先到即触发限制。

网络与监听器：TCP_NODELAY 与 WebSocket 修复

• set_tcp_nodelay：可对客户端 socket 禁用 Nagle 算法，降低小报文交互场景的延迟（默认 false，见 mosquitto.conf）。
• WebSocket 监听器不再禁用 IPv6；修复 Websockets 场景下 $SYS 计数不准确、CONNACK 未发送、auth 插件返回 MOSQ_ERR_AUTH 时崩溃等问题。
• 新增 systemd 启动通知与 service 文件（对应 #471053），仓库 service/systemd 目录下至今保留 mosquitto.service.notify 与 mosquitto.service.simple 两种模板。
• 桥接（bridge）连接默认协议升级为 MQTT v3.1.1。

$SYS 树与运维

• 新增 $SYS/broker/store/messages/count（取代 $SYS/broker/messages/stored）与 $SYS/broker/store/messages/bytes 两个计数器。
• $SYS 树打印格式变更，官方明确该格式"不应依赖，可能随时变化"。
• 移除所有构建时间戳信息，包括 $SYS/broker/timestamp。
• 配置文件行长度不再限制为 1024 字符（#652）；include_dir 加载时按文件名排序（#17）。
• mosquitto_db_dump 工具可输出客户端统计信息。

客户端库新助手函数：几行代码完成订阅

新闻稿提到"客户端库新增辅助函数以创建极其简单的 MQTT 客户端"，对应实现集中在 lib/helpers.c：

• mosquitto_subscribe_simple()（lib/helpers.c）：一次性订阅主题、接收指定数量的消息后返回。参数覆盖消息数组、数量、是否接收 retained 消息、主题、QoS、host/port、clientid、keepalive、clean_session、用户名密码、遗嘱（will）与 TLS 配置。实现内部通过回调收集消息，达到 msg_count 后断开连接并返回消息数组。
• mosquitto_subscribe_callback()（lib/helpers.c）：注册一个逐条处理消息的回调，内部完成 mosquitto_new、遗嘱/用户名/TLS 设置、回调注册、mosquitto_connect 与 mosquitto_loop_forever 的整套流程，把通常需要十数行的样板代码压缩到一个函数调用。

仓库 examples/subscribe_simple 目录提供了三个可直接编译运行的最小示例：

single.c 接收单条消息并打印：

rc = mosquitto_subscribe_simple(
        &msg, 1, true,
        "irc/#", 0,
        "test.mosquitto.org", 1883,
        NULL, 60, true,
        NULL, NULL,
        NULL, NULL);
printf("%s %s\n", msg->topic, (char *)msg->payload);

完整代码见 single.c；批量接收多条见 multiple.c；回调式处理见 callback.c。

除此之外，1.5 客户端库还新增了一批实用 API：

• mosquitto_validate_utf8()：按 UTF-8 规范及 MQTT 附加限制校验字符串；
• mosquitto_userdata()：获取客户端 userdata 成员（#111）；
• mosquitto_pub_topic_check2() / mosquitto_sub_topic_check2() / mosquitto_topic_matches_sub2()：带长度参数的主题校验与匹配系列；
• mosquitto_connect_with_flags_callback_set()：暴露 connect flags 的第二版连接回调（#738/#128）；
• MOSQ_OPT_SSL_CTX 与 MOSQ_OPT_SSL_CTX_WITH_DEFAULTS：允许用户提供自定义 SSL_CTX，或将 libmosquitto 默认 TLS 配置应用到用户提供的 SSL_CTX 上（#715/#567）。

配套客户端工具（mosquitto_sub/mosquitto_pub）也同步增强：mosquitto_sub 新增 -F（自定义输出格式）、-U（取消订阅）、--retained-only（收到全部 retained 消息后退出）、-W（接收超时）；mosquitto_pub 新增 -c（clean session），且 TLS 下默认端口改为 8883。

MQTT 5.0 路线图：新闻稿中承诺的协议演进

新闻稿对 MQTT 5.0 的定位是"自首个公开规范发布以来最重大的协议修订"，并明确了几个方向性能力。这些能力不仅停留在路线图层面，在当前仓库代码中均有对应实现痕迹：

• 错误报告（error reporting）：v5 在 CONNACK/PUBACK 等报文引入细粒度 reason code，仓库 test/mqtt5_rc.py 中可看到完整的 v5 返回码定义。
• 服务端可扩展性（server-side scalability）：包括会话过期（session expiry）、共享订阅等机制，对应源码见 src/session_expiry.c 与 $share 相关订阅处理。
• 资源受限客户端支持：如 topic alias（主题别名）、maximum packet size（最大报文尺寸）等特性，测试用例见 test/broker/12-prop-maximum-packet-size-publish-qos1.py 与 12-prop-maximum-packet-size-publish-qos2.py。
• 可扩展元数据（extensible metadata）：v5 引入用户属性（user properties）、内容类型（content type）等，测试见 test/broker/12-prop-subpub-content-type.py。
• 请求/响应能力（request/response）：借助 response topic 与 correlation data 实现，测试见 12-prop-response-topic.py。

从持久化层看，src/persist_read_v5.c、src/persist_write_v5.c 等文件表明 v5 属性（properties）已被完整纳入 broker 持久化体系，说明新闻稿中的 5.0 路线图在后续版本中确实按计划落地，如今 MQTT v5 已是当前仓库中与 v3.1.1 并列的一等公民。

版本节奏与项目治理启示

新闻稿还透露了项目治理层面的变化：核心开发者获得商业赞助后，项目得以加速新版本发布节奏。从仓库看，这一承诺兑现的路径是清晰的——1.5 发布说明中列举的 broker 特性、修复与客户端库 API 数量庞大（本仓库 ChangeLog.txt 也持续记录着后续版本的迭代），而 5.0 兼容版本的 8 月底时间点在后续发布中如期完成。对于关注 Mosquitto 的开发者而言，这次新闻稿既是"版本特性清单"，也是理解该开源项目治理与演进节奏的重要历史资料。

小结

Mosquitto 1.5 是一次典型的"特性版本"：安全上修复了恶意 CONNECT 的内存泄漏、改用常量时间 memcmp 比较密码；认证授权上带来 per_listener_settings、use_subject_as_username 与 SUBSCRIBE 级拒绝能力；性能上通过 UHPA 与消息路径精简降低分配开销；运维上新增 max_queued_bytes、set_tcp_nodelay、systemd 支持与新的 $SYS 计数器；客户端库则以 mosquitto_subscribe_simple/mosquitto_subscribe_callback 把订阅流程压缩到极致。与此同时，新闻稿公开的 MQTT 5.0 路线图（错误报告、可扩展性、资源受限客户端、可扩展元数据、请求/响应）在后续版本中逐一落地，今天的仓库源码与测试用例就是这些承诺最直接的见证。