Spring Kafka开启SSL后消费者无法连接Broker问题求助

核心错误点说明 #

错误1：缺少安全协议核心配置 #

你当前的配置仅设置了SSL加密相关参数，未告知Kafka客户端使用SSL协议连接Broker：

• SslConfigs.SSL_PROTOCOL_CONFIG 配置项的作用是指定SSL握手使用的TLS版本（如TLSv1.2、TLSv1.3），并非指定连接使用的安全协议类型，你给这个字段传值"SSL"本身不符合参数要求。
• 你缺失的核心配置是security.protocol，该配置用于指定Kafka客户端和Broker通信的安全协议，启用SSL时需要设置为SSL。

错误2：替换配置时写法错误导致枚举异常 #

你看到的No enum constant异常，通常是两种原因导致：

• 配置的key和value写反
• 传入的securityProtocol变量值格式错误，没有正确对应org.apache.kafka.common.security.auth.SecurityProtocol枚举的合法取值

修正后的配置代码 #

需要先导入两个依赖类避免编译错误：org.apache.kafka.common.config.CommonClientConfigs、org.apache.kafka.common.security.auth.SecurityProtocol

Map<String, Object> config = new HashMap<String, Object>();
config.put(ConsumerConfig.BOOTSTRAP_SERVERS_CONFIG, kafkaBootStrapServers);
config.put(ConsumerConfig.KEY_DESERIALIZER_CLASS_CONFIG, StringDeserializer.class);
config.put(ConsumerConfig.VALUE_DESERIALIZER_CLASS_CONFIG, StringDeserializer.class);
config.put(ConsumerConfig.ENABLE_AUTO_COMMIT_CONFIG, "true");

if (sslEnabled) {
    // 新增：指定安全协议为SSL，使用常量避免拼写错误
    config.put(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, SecurityProtocol.SSL.name());
    // 修正：指定SSL使用的TLS版本，和服务端配置对齐即可，绝大多数场景为TLSv1.2
    config.put(SslConfigs.SSL_PROTOCOL_CONFIG, "TLSv1.2");
    config.put(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, trustStoreLocation);
    config.put(SslConfigs.SSL_TRUSTSTORE_PASSWORD_CONFIG, trustStorePassword);
    config.put(SslConfigs.SSL_KEY_PASSWORD_CONFIG, keyStorePassword);
    config.put(SslConfigs.SSL_KEYSTORE_PASSWORD_CONFIG, keyStorePassword);
    config.put(SslConfigs.SSL_KEYSTORE_LOCATION_CONFIG, keyStoreLocation);
    // 可选：开启SSL调试日志，方便定位证书、握手相关问题
    config.put("ssl.debug", "true");
}

额外排查建议 #

• 确认密钥库、信任库的文件路径正确，服务运行账号拥有文件的读取权限，对应密码配置正确
• 确认服务器的网络策略、防火墙没有限制访问Kafka Broker的9093端口
• 如仍有握手失败问题，可在启动服务时添加JVM参数-Djavax.net.debug=ssl，输出完整SSL握手日志定位具体问题

内容的提问来源于stack exchange，提问作者Smith