配置SASL_PLAINTEXT后Kafka消费者无法接收消息排查

1. 验证消费者JAAS配置 #

• 检查kafka_client_jaas.conf的PlainLoginModule配置，确保用户名、密码与Broker端定义的一致：

  KafkaClient {
      org.apache.kafka.common.security.plain.PlainLoginModule required
      username="consumer_user"
      password="consumer_pass";
  };
  

• 确认启动消费者时已通过-Djava.security.auth.login.config指定正确的JAAS文件路径，示例命令：

  bin/kafka-console-consumer.sh --bootstrap-server localhost:9092 --topic test-topic --consumer.config config/consumer_sasl_plain.properties --java-options "-Djava.security.auth.login.config=config/kafka_client_jaas.conf"
  

2. 检查消费者属性文件 #

• 确认consumer_sasl_plain.properties中核心配置正确：

  security.protocol=SASL_PLAINTEXT
  sasl.mechanism=PLAIN
  # 若未使用独立JAAS文件，需配置下面这行
  sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="consumer_user" password="consumer_pass";
  group.id=test-consumer-group
  auto.offset.reset=earliest
  

  关键注意：auto.offset.reset若设为latest，消费者仅接收启动后生产的消息，之前的历史消息不会被消费，需改为earliest才能回溯历史消息。

3. 验证Broker端权限配置 #

• 若Broker开启了ACL，确认消费者用户拥有目标topic的READ权限，以及对应消费者组的DESCRIBE权限。
• 若未配置ACL，确保Broker的allow.everyone.if.no.acl.found参数设为true（默认值），否则无ACL配置的用户会被拒绝访问。

4. 查看日志定位问题 #

• 检查消费者日志（默认路径：logs/consumer.log），搜索错误或警告信息，比如认证失败、权限不足的报错：

  grep -i "error\|warn" logs/consumer.log
  

• 查看Broker日志（logs/server.log），确认是否存在消费者连接失败、权限被拒的记录，这类日志能直接指明问题根源。

5. 确认消费者组与Topic匹配 #

• 检查消费者指定的Topic名称与生产者发送的Topic完全一致（Kafka Topic名称大小写敏感）。
• 使用命令查看消费者组状态，确认是否已成功连接Broker并分配分区：

  bin/kafka-consumer-groups.sh --bootstrap-server localhost:9092 --describe --group test-consumer-group
  

  若Current offset与Log end offset数值一致，说明当前无新消息可消费；若Lag值大于0但消费者未收到消息，需进一步排查消费逻辑或配置。

内容的提问来源于stack exchange，提问作者the_D