需在"服务设置"中开启 ACL 才生效。按 sort 升序匹配，命中第一条即决定放行/拒绝； 主题支持通配符 + / # 与占位符 %u(用户名) %c(clientId)。

注意：本表管不到设备私有主题。 /devices/{uuid}/... 与 /notify/{account}/... 由服务端按设备绑定与共享关系硬校验 （仅设备本体、设备主人、被共享者可访问；只读共享仅可订阅 state/status/event/config/ack/ota/report）， 与"启用ACL"开关和默认策略无关，未绑定的会员始终无法订阅他人设备。 跨设备通配符（如 /devices/+/state）默认拒绝，如需给监控账号放行，在此为它单独加一条 allow 规则即可。