Spring Eureka客户端与非Spring客户端SSL环境下服务发现问题咨询

为什么Spring Eureka Discovery Client默认仅搜索非安全vipAddress？ #

这个问题源于Spring Cloud Netflix与原生Netflix Eureka客户端在vipAddress设置逻辑上的差异：

• Spring的InstanceInfoFactory（代码行58）无论非安全端口是否启用，都会默认生成vipAddress，这是Spring对Eureka客户端的封装逻辑，确保服务注册时总有一个基础的虚拟主机标识。
• 原生Netflix的PropertiesInstanceConfig（代码行167）仅在非安全端口启用时才会设置vipAddress；当你全局禁用非安全端口后，非Spring Client（服务B）只会生成secureVipAddress，不会生成vipAddress。
• 而Spring的EurekaDiscoveryClient（代码行96）默认逻辑是基于vipAddress去搜索实例，自然找不到只有secureVipAddress的服务B实例。

这种设计早期是为了兼容HTTP为主的传统场景，但在全SSL禁用非安全端口的环境下就会出现适配问题。

解决方法（SSL环境下协同工作方案） #

根据你的场景，有几种可行的解决方案：

1. 给非Spring Eureka Client手动配置vipAddress

既然Spring客户端依赖vipAddress搜索实例，我们可以让非Spring Client（服务B）手动设置vipAddress，使其值与secureVipAddress一致。

• 在服务B的Eureka配置中添加：

  eureka.vipAddress=your-service-b-secure-vip
  eureka.secureVipAddress=your-service-b-secure-vip
  

  这样服务B注册时会同时拥有vipAddress和secureVipAddress，Spring客户端搜索vipAddress时就能匹配到实例。

2. 修改Spring Eureka Client的搜索逻辑，优先使用secureVipAddress

你可以通过配置和自定义扩展让Spring客户端搜索secureVipAddress：

• 首先在服务A的配置中启用安全端口并禁用非安全端口：

  eureka:
    instance:
      secure-port-enabled: true
      non-secure-port-enabled: false
    client:
      fetch-registry: true
      registry-fetch-interval-seconds: 5 # 缩短注册信息拉取间隔，加快实例发现
  

• 然后自定义EurekaDiscoveryClient的扩展，或者使用DiscoveryClientOptionalArgs来调整实例查询逻辑，让客户端同时查询vipAddress和secureVipAddress。比如通过实现ServiceInstanceSupplier接口，重写实例获取逻辑，加入对secureVipAddress的匹配。

3. 配置Ribbon强制使用安全连接（如果用Ribbon做负载均衡）

如果服务A是通过Ribbon调用服务B，直接配置Ribbon优先选择安全实例：

• 在服务A的配置文件中添加：

  service-b:
    ribbon:
      IsSecure: true
      NIWSServerListClassName: com.netflix.loadbalancer.ConfigurationBasedServerList
  

  这会让Ribbon忽略非安全端口的实例（本来也禁用了），直接使用服务B的安全端口实例，同时确保从Eureka拉取的实例信息中优先读取secureVipAddress对应的地址。

内容的提问来源于stack exchange，提问作者Benjamin Schüller