Java Kafka客户端需同时启用SASL/SSL：服务端配置SASL_SSL监听器、ACL授权，客户端加载JAAS认证文件与SSL信任库，并在Producer/Consumer中设置security.protocol=SASL_SSL等参数。
Java Kafka 客户端要通过 SASL/SSL 保障企业级消息通道安全，核心是同时启用身份认证（SASL）和传输加密（SSL），缺一不可。单纯用 SASL_PLAINTEXT 只做认证、不加密，公网下极易被截获；只配 SSL 而无 SASL，则任何人都能连上，形同虚设。
服务端必须开启 SASL_SSL 监听器
Broker 的 server.properties 中需明确配置支持 SASL_SSL 的监听器，并绑定协议与认证机制：
- listeners=SASL_SSL://0.0.0.0:9095 —— 暴露一个专用的安全端口
- security.inter.broker.protocol=SASL_SSL —— 集群内 Broker 通信也走加密认证
- sasl.mechanism.inter.broker.protocol=PLAIN 或 SCRAM-SHA-256 —— 内部通信用的 SASL 机制
- listener.security.protocol.map=SASL_SSL:SASL_SSL —— 显式映射监听器到协议
- 配套启用 ACL：设置 authorizer.class.name=kafka.security.auth.SimpleAclAuthorizer 并关闭默认放行（allow.everyone.if.no.acl.found=false）
客户端需加载 JAAS + SSL 两套凭证
Java 应用不能只靠 properties 文件完成认证，必须拆解为两个关键配置层：
-
JAAS 文件（如 kafka_client_jaas.conf）：声明登录模块和凭据
KafkaClient {
org.apache.kafka.common.security.plain.PlainLoginModule required
username="your-cluster#admin"
password="P@ssw0rd123";
};
注意 username 格式通常是 集群标识#用户名，密码明文存储但需严格控制文件权限（chmod 600） -
SSL 信任库（truststore）：包含 CA 证书或服务端公钥，用于验证 Broker 身份
ssl.truststore.location=/path/to/kafka.client.truststore.jks
ssl.truststore.password=changeit
ssl.truststore.type=JKS
Producer/Consumer 配置里显式启用安全参数
在代码中初始化 Kafka 客户端时，properties 必须包含以下最小集：
立即学习“Java免费学习笔记（深入）”；
- bootstrap.servers=xxx:9095 —— 指向 SASL_SSL 端口
- security.protocol=SASL_SSL —— 协议类型不能写错
- sasl.mechanism=PLAIN（或 SCRAM-SHA-256）—— 与服务端一致
-
sasl.jaas.config：可直接内联 JAAS 内容，避免外部文件路径问题
例如：org.apache.kafka.common.security.plain.PlainLoginModule required username="..." password="..."; - SSL 参数：除 truststore 外，若需双向认证（mTLS），还要加 ssl.keystore.location 和密钥密码
ACL 权限必须按角色精细化管控
即使认证通过，没有 ACL 授权也无法读写 Topic。用 kafka-acls.sh 工具或控制台逐项授权：
- 给用户 User:admin 授予对 Topic order-events 的 READ/WRITE 权限
- 限制 Consumer Group payment-consumer 只能消费指定 Topic，禁止创建新 Topic（DESCRIBE 可开，CREATE 关闭）
- 生产环境建议禁用 super.users 全局权限，改用最小权限原则分配
