创建Java Kafka生产者与消费者时遭遇SSL握手失败问题求助

核心排查与修复步骤 #

1. 显式配置安全协议与SASL机制 #

Conduktor会自动适配安全配置，但Java客户端必须显式指定。确保生产者/消费者配置包含：

props.put(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, "SASL_SSL");
// 根据你的Kafka平台选择对应机制，常用PLAIN或SCRAM-SHA-256
props.put(SaslConfigs.SASL_MECHANISM, "PLAIN");

如果平台采用SCRAM认证，将SASL_MECHANISM改为SCRAM-SHA-256或SCRAM-SHA-512。

2. 让Java客户端信任系统默认根证书 #

Conduktor默认使用系统信任库，但Java客户端可能未加载。两种配置方式：

• JVM启动参数：

-Djavax.net.ssl.trustStore=/path/to/system/cacerts
-Djavax.net.ssl.trustStorePassword=changeit

系统信任库路径参考：Linux为/etc/pki/java/cacerts，macOS为/Library/Java/JavaVirtualMachines/{jdk-version}.jdk/Contents/Home/lib/security/cacerts，Windows为C:\Program Files\Java\jdk{version}\jre\lib\security\cacerts，默认密码通常为changeit。

• 代码内配置：

props.put(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, "/path/to/cacerts");
props.put(SslConfigs.SSL_TRUSTSTORE_PASSWORD_CONFIG, "changeit");

3. 校验JAAS配置格式 #

确保sasl.jaas.config无语法错误，不同机制格式示例：

• PLAIN机制：

props.put(SaslConfigs.SASL_JAAS_CONFIG, 
    "org.apache.kafka.common.security.plain.PlainLoginModule required " +
    "username=\"你的API Key\" " +
    "password=\"你的API Secret\";");

• SCRAM机制：

props.put(SaslConfigs.SASL_JAAS_CONFIG, 
    "org.apache.kafka.common.security.scram.ScramLoginModule required " +
    "username=\"你的API Key\" " +
    "password=\"你的API Secret\";");

注意引号、分号不能缺失。

4. 确认Broker端口正确性 #

托管Kafka服务的SASL_SSL端口通常不是默认9092，多为9094或自定义端口，检查bootstrap.servers配置的端口是否匹配。

5. 开启SSL调试定位细节 #

添加JVM参数开启SSL握手日志，获取失败具体原因：

-Djavax.net.debug=ssl:handshake

日志会显示证书验证失败、TLS协议不兼容等关键信息。

额外验证建议 #

1. 导出Conduktor的连接配置，与Java客户端配置逐一比对，确保安全参数完全一致；
2. 编写极简生产者/消费者代码测试，排除业务代码干扰；
3. 尝试更换JDK版本（建议JDK 11及以上），旧版本可能存在TLS协议支持缺陷。

内容的提问来源于stack exchange，提问作者MikeMonger