Java中读取明文证书连接Kafka SSL遇异常求助

问题背景 #

现有文件：ca.crt、ca.p12、ca.password，在Kafka消费者中配置了以下SSL参数：

propsMap.put(SslConfigs.SSL_TRUSTSTORE_TYPE_CONFIG, "PKCS12");
propsMap.put(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, caP12Location);
propsMap.put(SslConfigs.SSL_TRUSTSTORE_PASSWORD_CONFIG, caPassword);

连接时抛出异常：

Caused by: org.apache.kafka.common.KafkaException: org.apache.kafka.common.KafkaException: Failed to load SSL keystore /etc/kafka/client-certs/ca.p12 of type PKCS12
    at org.apache.kafka.common.network.SaslChannelBuilder.configure(SaslChannelBuilder.java:172)
    ... 34 common frames omitted
Caused by: org.apache.kafka.common.KafkaException: Failed to load SSL keystore /etc/kafka/client-certs/ca.p12 of type PKCS12
    at org.apache.kafka.common.security.ssl.DefaultSslEngineFactory$FileBasedStore.load(DefaultSslEngineFactory.java:377)
    ... 38 common frames omitted
Caused by: java.io.IOException: keystore password was incorrect
    at java.base/sun.security.pkcs12.PKCS12KeyStore.engineLoad(Unknown Source)
    ... 44 common frames omitted
Caused by: java.security.UnrecoverableKeyException: failed to decrypt safe contents entry: javax.crypto.BadPaddingException: Given final block not properly padded. Such issues can arise if a bad key is used during decryption.
    ... 48 common frames omitted

疑问 #

1. 为何系统要求keystore密码？我并未使用keystore。
2. 是否必须使用keystore？能否直接使用明文证书文件？

解答 #

问题1解答 #

你配置的SSL_TRUSTSTORE_LOCATION_CONFIG指向的是PKCS12格式文件，在Java SSL体系中，PKCS12本身就是一种keystore类型——无论它存储的是信任证书（truststore用途）还是私钥证书（keystore用途）。PKCS12容器是加密的，所以加载它必须提供对应密码，哪怕文件里只有CA根证书。

另外，异常提示的"keystore password was incorrect"直接原因是你输入的caPassword和ca.p12实际设置的密码不匹配，建议用keytool -list -keystore ca.p12 -storetype PKCS12命令验证密码是否正确。

问题2解答 #

不是必须使用keystore，你可以直接用明文PEM格式的ca.crt文件。需要调整配置参数：

• 将SSL_TRUSTSTORE_TYPE_CONFIG设置为PEM
• 通过SSL_TRUSTSTORE_LOCATION_CONFIG指定ca.crt的文件路径（部分Kafka版本支持通过SSL_TRUSTSTORE_CERTIFICATES_CONFIG直接传入证书字符串）

示例配置：

propsMap.put(SslConfigs.SSL_TRUSTSTORE_TYPE_CONFIG, "PEM");
propsMap.put(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, "/path/to/ca.crt");
// 若直接传入证书内容，可使用以下参数：
// propsMap.put(SslConfigs.SSL_TRUSTSTORE_CERTIFICATES_CONFIG, new String(Files.readAllBytes(Paths.get("/path/to/ca.crt"))));

这种方式无需设置信任库密码，因为PEM文件是明文格式，没有加密容器。

内容的提问来源于stack exchange，提问作者Faheem Sultan