本文系统解析 Spring Boot 应用连接 Kafka（尤其是 Confluent Cloud 等云托管集群）时出现 Bootstrap broker localhost:9092 (id: -1) disconnected 或 Node -1 disconnected 的根本原因，明确指出 Spring Boot 自动配置对 SASL/SSL 等安全参数的默认忽略机制，并提供完整、可落地的配置方案与最佳实践。
本文系统解析 spring boot 应用连接 kafka（尤其是 confluent cloud 等云托管集群）时出现 `bootstrap broker localhost:9092 (id: -1) disconnected` 或 `node -1 disconnected` 的根本原因，明确指出 spring boot 自动配置对 sasl/ssl 等安全参数的默认忽略机制，并提供完整、可落地的配置方案与最佳实践。
在 Spring Boot 项目中集成 Kafka 时，若使用 Confluent Cloud、阿里云 Kafka 或其他启用 SASL_SSL 认证的托管服务，开发者常遭遇一个极具迷惑性的现象：应用启动后日志反复打印 Node -1 disconnected 或 Connection to node -1 (localhost/127.0.0.1:9092) could not be established——即使 spring.kafka.bootstrap-servers 明确配置为远程地址，客户端却仍尝试连接 localhost:9092。这不是网络不通，而是 Spring Boot 的 Kafka 自动配置机制在安全上下文下的“静默失效”。
? 根本原因：自动配置不支持原生 properties.* 安全参数透传
Spring Boot 的 spring-kafka Starter 默认仅解析有限的标准化配置项（如 spring.kafka.bootstrap-servers, spring.kafka.producer.key-serializer），而 *所有以 `spring.kafka.properties.前缀声明的安全参数（如sasl.mechanism,security.protocol,sasl.jaas.config）并不会被自动注入到 Kafka 客户端实例中**。这些参数会被 Spring Boot 忽略，导致 Kafka Producer 实际使用默认配置（PLAINTEXT + localhost:9092）发起连接，从而触发node -1` 错误。
✅ 正确做法：必须显式构建 ProducerFactory，将全部安全参数作为 Map
传入底层 Kafka 客户端配置 ，绕过自动配置的限制。
✅ 正确配置示例（Confluent Cloud 兼容）
以下为生产级可用的完整配置（基于 Spring Boot 2.6+ / 3.x）：
@Configuration
public class KafkaConfiguration {
@Value("${spring.kafka.bootstrap-servers}")
private String bootstrapServers;
@Value("${spring.kafka.sasl.username}")
private String saslUsername;
@Value("${spring.kafka.sasl.password}")
private String saslPassword;
// 注意：此处使用标准配置键名，非 properties.* 前缀
@Bean
public ProducerFactory<string string> producerFactory() {
Map<string object> props = new HashMap();
props.put(ProducerConfig.BOOTSTRAP_SERVERS_CONFIG, bootstrapServers);
props.put(ProducerConfig.KEY_SERIALIZER_CLASS_CONFIG, StringSerializer.class);
props.put(ProducerConfig.VALUE_SERIALIZER_CLASS_CONFIG, StringSerializer.class);
// ⚠️ 关键：显式注入 SASL/SSL 安全参数（不可依赖 application.yml 中的 spring.kafka.properties.*）
props.put(CommonClientConfigs.SECURITY_PROTOCOL_CONFIG, "SASL_SSL");
props.put(SaslConfigs.SASL_MECHANISM, "PLAIN");
props.put(SaslConfigs.SASL_JAAS_CONFIG,
"org.apache.kafka.common.security.plain.PlainLoginModule required " +
"username=\"" + saslUsername + "\" " +
"password=\"" + saslPassword + "\";");
// 可选：SSL 配置（Confluent Cloud 要求）
props.put(SslConfigs.SSL_ENDPOINT_IDENTIFICATION_ALGORITHM_CONFIG, "");
props.put("ssl.truststore.location", "/path/to/kafka.client.truststore.jks"); // 若自定义 truststore
props.put("ssl.truststore.password", "changeit");
return new DefaultKafkaProducerFactory(props);
}
@Bean
public KafkaTemplate<string string> kafkaTemplate() {
return new KafkaTemplate(producerFactory());
}
}</string></string></string>
对应 application.yml 推荐写法（避免 properties.* 前缀）：
spring:
kafka:
bootstrap-servers: "${KAFKA_BOOTSTRAP_SERVERS:your-cluster.au.confluent.cloud:9092}"
# 注意：以下参数不加 properties. 前缀，仅用于手动注入，非自动生效
sasl:
username: "${KAFKA_API_KEY:your-api-key}"
password: "${KAFKA_API_SECRET:your-api-secret}"
? 常见陷阱与避坑指南
- ❌ 错误写法：在 application.yml 中写 spring.kafka.properties.security.protocol=SASL_SSL —— 此配置完全无效，Spring Boot 不会将其传递给 Kafka 客户端。
- ❌ 混淆 bootstrap.servers 来源：若同时存在 @Value("${spring.kafka.bootstrap-servers}") 和 spring.kafka.properties.bootstrap.servers，后者被忽略，前者才是唯一有效入口。
- ⚠️ JAAS 配置字符串格式敏感：sasl.jaas.config 值必须为完整 JAAS 登录模块声明字符串，且 username/password 需用英文双引号包裹，空格不可省略。
- ✅ 验证连接有效性：启动后检查日志中 ProducerConfig values: 输出，确认 bootstrap.servers、security.protocol、sasl.mechanism 等字段已正确加载（而非显示默认值）。
- ✅ 云环境额外要求：Confluent Cloud 强制要求 ssl.endpoint.identification.algorithm=（空字符串）以禁用主机名验证；阿里云/腾讯云 Kafka 可能需配置 ssl.truststore。
? 总结：连接成功的三个必要条件
- 服务可达：确保 Kafka Broker 地址可从应用服务器 telnet your-broker:9092 通达，云平台需放行安全组/网络 ACL；
- 认证完备：SECURITY_PROTOCOL_CONFIG、SASL_MECHANISM、SASL_JAAS_CONFIG 三者缺一不可，且必须通过 ProducerFactory 显式传入；
- 配置无歧义：彻底弃用 spring.kafka.properties.* 写法，改用标准配置键 + @Value 注入 + 手动构建 Map 的组合模式。
遵循以上方案，即可彻底解决 Node -1 disconnected 问题，实现 Spring Boot 与云 Kafka 集群的稳定、安全通信。
