本地Java客户端连接Azure托管Elasticsearch报400错误排查

按以下优先级逐一排查，覆盖所有该场景下的已知触发原因：

1. 端口与协议配置错误（最高发原因） #

• Azure上托管的Elastic Cloud服务公网仅开放9243端口用于HTTPS访问，你列出的9200是VPC内部明文HTTP访问端口、9300是集群节点间内部通信端口，公网环境下直接访问这两个端口会被前置网关直接拦截，固定返回400 Bad Request。
• 修复方式：客户端配置连接地址时，要么直接使用控制台给出的默认HTTPS域名（不指定端口，默认走443），要么显式指定端口为9243，同时强制客户端使用TLS 1.2及以上版本发起加密连接，禁止使用明文HTTP协议请求。

2. 认证配置格式错误 #

• 8.x版本Java客户端不要手动拼接API Key到自定义请求头，手动拼接很容易出现格式错误（比如遗漏ApiKey 前缀、Base64编码格式不符），会被网关判定为非法请求。直接使用客户端内置的API Key认证方法传入凭证即可。
• 不要在连接端点末尾手动添加斜杠、自定义路径前缀，Elastic Cloud网关对请求路径校验规则严格，连接地址直接填写根域名即可，客户端会自动拼接对应API请求路径。

3. 客户端版本兼容性问题 #

• 8.2.3版本的Elasticsearch Java客户端存在已知的SNI（服务器名称指示）扩展缺失bug，连接Elastic Cloud多租户网关时，因为没有携带正确的域名SNI信息，会被网关路由到错误的后端服务，触发400响应。直接将Java客户端升级到和服务端一致的8.3版本即可修复该问题，不要跨小版本使用8.2系列客户端连接8.3版本服务端。

4. 本地网络干扰排查 #

• 如果本地机器开启了系统代理、HTTP抓包工具（如Fiddler、Charles），会篡改TLS握手流程或请求头内容，触发网关的拦截规则返回400。测试连接时暂时关闭所有代理、抓包工具，直连公网验证。

快速校验配置正确性：跳过Java客户端，直接在本地执行curl命令测试连通性：
curl -H "Authorization: ApiKey 替换为你的实际APIKey" https://替换为你的ES端点域名:9243
如果命令能正常返回集群基本信息（版本、集群名称等），说明网络、端口、凭证配置均正常，再回头调整Java客户端的初始化逻辑即可。

内容的提问来源于stack exchange，提问作者Udit Jindal