Spring Boot Kafka SSL连接消息发送失败问题求助

我之前也碰到过一模一样的情况——控制台消费者用SSL正常跑，但Spring Kafka就是连不上，结合你的场景，咱们一步步来排查：

1. 核对Spring Kafka的SSL配置项 #

控制台用的client-ssl.properties里的配置，要完整映射到Spring Boot的配置文件中，别漏项也别错前缀：

• 生产者配置要加spring.kafka.producer.前缀，消费者加spring.kafka.consumer.前缀，比如：

  # 生产者SSL配置
  spring.kafka.producer.bootstrap-servers=xx.xx.xx.xx:50070
  spring.kafka.producer.security.protocol=SSL
  spring.kafka.producer.ssl.truststore.location=/绝对路径/to/truststore.jks
  spring.kafka.producer.ssl.truststore.password=你的信任库密码
  spring.kafka.producer.ssl.keystore.location=/绝对路径/to/keystore.jks
  spring.kafka.producer.ssl.keystore.password=你的密钥库密码
  spring.kafka.producer.ssl.key.password=你的密钥单独密码（如果有的话）
  
  # 消费者SSL配置（如果有消费需求）
  spring.kafka.consumer.bootstrap-servers=xx.xx.xx.xx:50070
  spring.kafka.consumer.security.protocol=SSL
  spring.kafka.consumer.ssl.truststore.location=/绝对路径/to/truststore.jks
  spring.kafka.consumer.ssl.truststore.password=你的信任库密码
  spring.kafka.consumer.ssl.keystore.location=/绝对路径/to/keystore.jks
  spring.kafka.consumer.ssl.keystore.password=你的密钥库密码
  spring.kafka.consumer.ssl.key.password=你的密钥单独密码（如果有的话）
  

  重点注意：一定要用绝对路径，或者确保证书文件在Spring Boot的类路径下（比如放在src/main/resources里，用classpath:/truststore.jks这样的路径）。

2. 强制指定安全协议为SSL #

对应Spring Boot 2.0.x版本的Spring Kafka，默认security.protocol并非SSL，必须手动指定，这是很容易遗漏的一步，就是上面配置里的security.protocol=SSL项。

3. 开启调试日志抓细节 #

模糊的报错信息很难定位问题，开启Kafka和Spring Kafka的DEBUG日志，能看到SSL握手的完整过程，比如证书不被信任、路径找不到、密码错误等细节：

logging.level.org.apache.kafka=DEBUG
logging.level.org.springframework.kafka=DEBUG

启动应用后重点找SSLHandshakeException或者NoSuchFileException这类关键词，能直接锁定问题根源。

4. 确认密钥库/信任库的格式 #

如果你的证书是PKCS12格式（而非默认的JKS），必须额外指定文件类型：

spring.kafka.producer.ssl.truststore.type=PKCS12
spring.kafka.producer.ssl.keystore.type=PKCS12

控制台消费者可能在client-ssl.properties里已经配置了，但Spring Boot配置里很容易漏掉这一项。

5. 检查自定义ProducerFactory是否覆盖了配置 #

如果你在代码里手动创建了DefaultKafkaProducerFactory，一定要确保把所有SSL相关配置参数传入，不能只设置bootstrap servers。比如：

Map<String, Object> configProps = new HashMap<>();
configProps.put(ProducerConfig.BOOTSTRAP_SERVERS_CONFIG, "xx.xx.xx.xx:50070");
configProps.put(ProducerConfig.SECURITY_PROTOCOL_CONFIG, "SSL");
configProps.put(SslConfigs.SSL_TRUSTSTORE_LOCATION_CONFIG, "/path/to/truststore.jks");
// 其他SSL参数也要完整添加
DefaultKafkaProducerFactory<String, String> factory = new DefaultKafkaProducerFactory<>(configProps);

如果代码里硬编码了配置，会直接覆盖配置文件里的设置，这也是常见的踩坑点。

如果按上面的步骤排查后还是有问题，把DEBUG日志里的具体错误信息贴出来，就能更精准定位啦！

内容的提问来源于stack exchange，提问作者ccshih