Kafka SSL客户端如何强制重载JKS证书解决重连握手失败问题

不存在ssl.keystore.forceread=true这类原生内置的强制读取配置项，该问题可根据你使用的Kafka版本选择对应解决方案：

解决方案 #

方案1：Kafka 2.6及以上版本（推荐） #

Kafka 2.6版本开始官方内置了SSL证书动态重载能力，无需额外添加特殊配置：客户端每次发起新的SSL握手时，会自动检测信任库、密钥库文件的最后修改时间，若检测到文件已更新，会自动重新读取文件系统中的最新JKS文件完成握手，完美匹配你提到的broker宕机恢复后重新握手的场景。

注意：更新JKS文件时请执行原子替换操作，比如先将新证书写入临时文件，再通过mv命令覆盖原有JKS文件，避免客户端读取到半写入的损坏证书。

方案2：Kafka 2.6以下版本 #

如果无法升级Kafka版本，可选择以下两种兼容方案：

• 自定义SSLEngine工厂实现：实现Kafka官方的org.apache.kafka.common.security.auth.SslEngineFactory接口，在代码逻辑中加入JKS文件修改时间校验逻辑，每次创建SSLEngine实例时如果检测到文件更新就重新加载JKS，最后在客户端配置中指定你自定义的工厂类即可：

  ssl.engine.factory.class=你的自定义SSLEngine工厂类的全限定名
  

• 优雅重启客户端：如果改造成本过高，可在证书更新后、业务低峰期优雅关闭旧的Kafka客户端实例，新建实例会自动读取最新的JKS文件，该方案改造成本最低，适合低优先级、低流量的业务场景。

内容的提问来源于stack exchange，提问作者beatrice