配置双Kafka Broker（SASL Kerberos与SASL SCRAM）启动时SASL SCRAM Broker报NullPointerException问题排查

你的问题核心在于多Kafka Binder的配置隔离性缺失——当同时配置Kerberos和SCRAM两种认证的Binder时，SCRAM Binder的JAAS配置没有被正确隔离，导致Kafka客户端初始化SASL上下文失败，抛出NullPointerException。而单独配置SCRAM时没有其他配置干扰，所以能正常工作。

问题根源分析 #

从你的配置和错误日志来看：

1. 错误发生在SaslClientAuthenticator.sendSaslClientToken方法，说明Kafka客户端的SaslClient实例为null，这通常是因为SASL认证所需的JAAS配置没有正确加载到对应Binder的客户端上下文。
2. 两个Binder的JAAS配置结构不一致：
   • Binder1（Kerberos）的JAAS配置放在configuration.jaas.options下，属于Binder专属的配置上下文
   • Binder2（SCRAM）的JAAS配置直接放在kafka.jaas下，属于全局级配置，在多Binder场景下会和其他Binder的配置产生冲突，导致SCRAM的认证参数没有被正确绑定到对应的客户端。

修复方案 #

你需要统一两个Binder的配置结构，将SCRAM Binder的所有安全配置（包括JAAS）完全隔离在其专属的configuration节点下，确保每个Binder拥有独立的Kafka客户端配置上下文。

修改后的binder2配置如下：

binder2:
    type: kafka
    environment:
      spring:
        cloud:
          stream:
            kafka:
              binder:
                brokers: ${eventhub.broker.hosts} # 10.40.158.93:9093
                zkNodes: ${eventhub.zookeper.hosts} #10.40.158.93:2181
                autoCreateTopics: false
                zkConnectionTimeout: 36000
                headers:
                  - event
                  - sourceSystem
                  - userId
                  - branchCode
                  - kafka_messageKey
              configuration:
                security:
                  protocol: SASL_SSL
                  sasl:
                    mechanism: SCRAM-SHA-256
                  ssl:
                    enabled: true # 显式启用SSL，原配置此处为空可能导致解析异常
                    truststore:
                      location: ${eventhub.broker.cert.location}
                      password: ${eventhub.broker.cert.password}
                jaas:
                  loginModule: org.apache.kafka.common.security.scram.ScramLoginModule
                  options:
                    username: ${eventhub.broker.user}
                    password: ${eventhub.broker.password}

关键修改点说明 #

1. 将JAAS配置移入configuration节点：确保SCRAM的JAAS参数只作用于当前Binder的Kafka客户端，不会被其他Binder的Kerberos配置干扰。
2. 修复SSL配置：显式设置ssl.enabled: true，因为security.protocol为SASL_SSL时必须启用SSL，原配置中ssl.enabled:为空可能导致配置解析异常，间接影响SASL初始化。
3. 配置隔离：所有安全相关的配置（security.protocol、sasl.mechanism、jaas、ssl）都放在Binder专属的configuration下，保证每个Binder的Kafka客户端初始化时使用独立的配置上下文。

这样修改后，两个Binder会各自独立加载对应的认证配置，不会互相干扰，SCRAM Binder就能正常建立连接了。

内容的提问来源于stack exchange，提问作者Yeldho Thomas