如何解决Kafka的SslAuthenticationException: SSL握手失败问题

• 确认JVM实际使用的信任库
  应用可能未使用你导入证书的cacerts文件（比如使用了嵌入式JDK或环境变量指定的其他JRE）。

  • 启动时添加参数-Djavax.net.debug=ssl，查看日志中打印的信任库路径；或在代码中打印System.getProperty("javax.net.ssl.trustStore")确认。
  • 若路径不符，可选择：
    1. 将证书导入到JVM实际使用的信任库中；
    2. 启动时显式指定信任库：

       -Djavax.net.ssl.trustStore=C:\apps\jdk17\lib\security\cacerts
       -Djavax.net.ssl.trustStorePassword=changeit
       

• 验证证书导入是否成功
  执行命令检查目标信任库中是否存在导入的CA证书：

  keytool -list -keystore C:\apps\jdk17\lib\security\cacerts -storepass changeit | findstr "ca"
  

  若未找到证书，重新执行导入命令，确保文件路径正确（Windows路径可尝试用正斜杠替代反斜杠）。

• 核对Broker证书与导入的CA一致性
  用OpenSSL查看Kafka Broker的证书信息，确认其签发者与你生成的CA一致：

  openssl s_client -connect localhost:9092 -showcerts
  

  对比输出中的Issuer字段是否为/C=PL/L=Warsaw/CN=localhost，若Broker使用的不是该CA签发的证书，导入的ca.crt无法生效。

• 优化Spring Cloud Stream配置

  • 显式指定SSL信任库参数（避免JVM环境默认值冲突）：
    在spring.cloud.stream.kafka.binder.configuration下添加：

    ssl:
      truststore.location: C:\apps\jdk17\lib\security\cacerts
      truststore.password: changeit
    

  • 删除冗余配置：你使用的是SCRAM-SHA-256认证，kerberos相关配置属于无用项，可删除以避免干扰：

    # 移除以下配置块
    kerberos:
      service:
        name: "kafka"
    

• 启用SSL调试定位问题
  启动应用时添加参数-Djavax.net.debug=ssl,handshake，查看详细的SSL握手日志，可直观看到信任库加载情况、证书链验证过程，精准定位异常原因。

内容的提问来源于stack exchange，提问作者Petr Kostroun