使用Bitnami Docker镜像配置Kafka Kraft SASL JAAS连接Offset Explorer失败求助

报错Unexpected Kafka request of type METADATA during SASL handshake的核心原因是：客户端未完成SASL认证流程就直接发送了元数据请求，大概率是Kafka的SASL配置不完整，或Offset Explorer的连接参数有误。以下是针对性排查步骤：

1. 验证Kafka集群的SASL配置（Bitnami镜像） #

确保docker-compose中已正确开启SASL_PLAINTEXT监听器并配置认证规则：

关键环境变量配置示例 #

services:
  broker1:
    image: bitnami/kafka:3.5.1
    environment:
      - KAFKA_CFG_NODE_ID=1
      - KAFKA_CFG_PROCESS_ROLES=broker,controller
      - KAFKA_CFG_CONTROLLER_QUORUM_VOTERS=1@broker1:9093
      # 必须包含SASL_PLAINTEXT监听器
      - KAFKA_CFG_LISTENERS=PLAINTEXT://:9094,CONTROLLER://:9093,SASL_PLAINTEXT://:9095
      # 对外暴露的SASL地址要正确映射
      - KAFKA_CFG_ADVERTISED_LISTENERS=PLAINTEXT://localhost:9094,SASL_PLAINTEXT://localhost:9095
      # 绑定监听器与安全协议
      - KAFKA_CFG_LISTENER_SECURITY_PROTOCOL_MAP=PLAINTEXT:PLAINTEXT,CONTROLLER:PLAINTEXT,SASL_PLAINTEXT:SASL_PLAINTEXT
      # 启用PLAIN认证机制
      - KAFKA_CFG_SASL_ENABLED_MECHANISMS=PLAIN
      - KAFKA_CFG_SASL_MECHANISM_INTER_BROKER_PROTOCOL=PLAIN
      # JAAS配置：格式为user_<用户名>="<密码>"
      - KAFKA_CFG_SASL_JAAS_CONFIG=org.apache.kafka.common.security.plain.PlainLoginModule required username="admin" password="admin123" user_admin="admin123";
    ports:
      - "9094:9094"
      - "9095:9095"
      - "9093:9093"

注意：JAAS配置中，username是内部broker间认证的用户，user_<用户名>是客户端连接用的用户凭证，两者需保持一致或按需配置。

验证Kafka SASL服务是否正常 #

进入Kafka容器，用自带工具测试SASL连接：

# 进入容器
docker exec -it broker1 bash

# 创建测试生产者（需配置SASL参数）
kafka-console-producer.sh --broker-list localhost:9095 --topic test-sasl \
  --producer.config <(echo -e "security.protocol=SASL_PLAINTEXT\nsasl.mechanism=PLAIN\nsasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username=\"admin\" password=\"admin123\";")

如果能正常发送消息，说明Kafka的SASL配置无问题，问题出在客户端。

2. 修正Offset Explorer的连接配置 #

确保客户端参数完全匹配Kafka的SASL设置：

• Bootstrap servers：填写localhost:9095（对应宿主机映射的SASL端口）
• Security Protocol：选择SASL_PLAINTEXT（必须与Kafka监听器的协议一致）
• SASL Mechanism：选择PLAIN（与Kafka启用的机制匹配）
• SASL Username/Password：填写JAAS配置中定义的用户（如admin/admin123）
• 取消勾选"Use SSL"选项（SASL_PLAINTEXT不加密）

常见错误：误将安全协议选为PLAINTEXT，或SASL机制选错，导致客户端跳过认证直接发送请求，触发报错。

3. 排除网络问题 #

• 确认docker-compose中9095端口已正确映射到宿主机
• 检查宿主机防火墙/安全组是否放行9095端口的入站流量

内容的提问来源于stack exchange，提问作者Venu