核心用法
mqtt-client 是一个基于 Python 的 MQTT 后台进程，用于与 MQTT 消息队列建立持久连接并持续监听消息。使用时需执行 scripts/run.py 启动客户端，连接参数（如 Broker 地址、端口、认证信息）通过 .env 环境文件配置，符合 Twelve-Factor App 的配置管理规范。
显著优点
1. 轻量易集成：纯 Python 实现，依赖简单，可快速嵌入现有系统
2. 后台常驻：设计为长期运行的守护进程，适合持续订阅场景
3. 环境配置分离：敏感连接信息外置到 .env，避免硬编码泄露
4. 协议标准化：基于 MQTT 3.1/3.1.1/5.0 协议，与主流 Broker（EMQ X、RabbitMQ、AWS IoT Core 等）兼容
潜在缺点与局限性
- 功能极简：仅提供基础订阅能力，缺乏 QoS 等级配置、遗嘱消息、断线重连策略等高级特性
- 无内置监控：缺少连接状态探针、消息吞吐统计、自动重连告警等运维能力
- 认证信息明文：
.env文件若权限配置不当，存在凭据泄露风险 - 无 TLS 强制要求：需用户自行配置证书，默认可能走明文传输
适合人群
- IoT 开发者需要快速原型验证 MQTT 消息流转
- 个人项目或内部工具的数据采集脚本
- 已有成熟 Broker 基础设施，仅需轻量级消费端的场景
常规风险
| 风险类型 | 说明 |
|---------|------|
| 凭据泄露 | `.env` 文件需设置为 600 权限，避免提交至版本控制 |
| 中间人攻击 | 生产环境务必启用 TLS/SSL，禁用明文端口 1883 |
| 资源耗尽 | 无背压控制，高并发消息可能耗尽内存 |
| 依赖风险 | `python` 二进制依赖需验证来源，防范供应链攻击 |
> ⚠️ 注意：当前简介基于声明式文档生成，未执行代码审计与动态安全扫描，实际部署前建议进行依赖漏洞扫描（Snyk/Dependabot）与网络流量抓包验证。