Spring Boot从3.2.5升级至3.4.0后Kafka证书认证异常求助

问题描述 #

将Spring Boot从3.2.5版本迁移至3.4.0版本后，应用可正常消费Kafka消息且连接状态良好，但出现如下证书认证异常：

Caused by: org.apache.kafka.common.errors.SslAuthenticationException: Failed to process post-handshake messages
Caused by: javax.net.ssl.SSLHandshakeException: Received fatal alert: bad_certificate

仅3.2.5版本可正常运行。

可能原因及解决方法 #

• Kafka客户端版本升级导致SSL校验逻辑变更
  Spring Boot 3.4.0对应的Spring Kafka版本会升级Apache Kafka客户端（通常从3.5.x系列升级到3.7.x系列），新版本客户端对SSL证书的校验更严格，比如强制要求证书包含主题备用名称（SAN）、新增证书链完整性检查，或默认启用TLS 1.3特性导致旧证书不兼容。

• 检查证书有效性

  1. 确认客户端证书在有效期内，且包含匹配Broker地址的主题备用名称（SAN）——新版本Kafka客户端可能不再允许仅靠CN字段匹配地址。
  2. 用keytool -printcert -file your-cert.crt命令验证证书链完整性，确保从客户端证书到根CA的所有层级无缺失。

• 调整SSL配置参数（临时排查用）
  若证书本身无问题，可尝试添加以下配置兼容旧证书（注意生产环境不建议长期关闭校验）：

  spring.kafka.properties.ssl.endpoint.identification.algorithm=
  spring.kafka.properties.ssl.enable.certificate.verification=false
  

• 检查JDK版本影响
  Spring Boot 3.4.0默认JDK版本更高（如从JDK 17升级到JDK 21），新版本JDK的SSL信任库可能禁用了旧签名算法。可检查JDK安装目录下的java.security文件，确认是否禁用了证书使用的签名算法，必要时临时启用（生产环境建议更换符合新算法的证书）。

• 强制指定兼容的Kafka客户端版本（临时应急方案）
  若需快速恢复服务，可在构建文件中强制指定与Spring Boot 3.2.5一致的Kafka客户端版本：
  Maven示例：

  <dependency>
      <groupId>org.apache.kafka</groupId>
      <artifactId>kafka-clients</artifactId>
      <version>3.5.3</version>
  </dependency>
  

  Gradle示例：

  implementation('org.apache.kafka:kafka-clients:3.5.3')
  

内容的提问来源于stack exchange，提问作者Mohit Mishra