failed authentication due to: Authentication failed during authentication due to invalid credentials

喝醉酒的小白

于 2025-06-10 18:47:58 发布

阅读量1k

点赞数 21

CC 4.0 BY-SA版权

分类专栏： Kafka 文章标签： kafka

本文链接：https://blog.csdn.net/hezuijiudexiaobai/article/details/148566218

Kafka 专栏收录该内容

32 篇文章

订阅专栏

目录标题

- 问题

问题

密码里面有特殊字符 \
在这里插入图片描述

从报错信息看，问题确实和密码里的特殊字符（\ 这类转义符）有关，导致 Kafka 的 SASL 认证流程里，密码解析异常。下面分 问题原因 和 规避方案 详细说明：

一、问题根源：特殊字符的转义冲突

Kafka 的 sasl.jaas.config 配置里，密码包含 \ 这类特殊字符时，会触发 多层转义问题：

Shell 层面：执行命令/加载配置时，\ 可能被 Shell 当成转义符（比如 \3 会被解析成特殊字符）。
Java/JAAS 层面：JAAS 配置语法里，特殊字符也需要严格转义，否则无法正确识别密码。

最终表现为：Kafka 客户端拿到的密码和实际配置不一致，认证时因 “凭证无效” 报错。

二、完整规避方案（分场景处理）

场景 1：密码里有 `\` 等特殊字符，直接写配置文件

操作：
把密码里的 \ 替换成 \\ （双重转义），确保 Shell、JAAS 都能正确解析。

示例（假设原密码是 fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta ）：

# kafka.properties 里的配置
sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
  username="kafka-ae5da948-bpx-user1" \
  password="fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta";

\\ 会被 JAAS 正确识别为单个 \，避免转义冲突。

场景 2：用命令行传递密码（容易触发 Shell 转义）

操作：
用单引号 ' ' 包裹密码，或用 $'...' 语法显式处理转义。

错误示例（会被 Shell 转义，导致密码错误）：

kafka-console-producer.sh \
  --bootstrap-server 10.10.180.234:3150 \
  --producer.config /opt/kafka/kafka.properties \
  --topic test-topic \
  --producer-property sasl.jaas.config='org.apache.kafka.common.security.scram.ScramLoginModule required username="kafka-ae5da948-bpx-user1" password="fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta";'

正确写法（用单引号包裹，或转义 \ ）：

# 方法 1：单引号 + 双重转义
kafka-console-producer.sh \
  --bootstrap-server 10.10.180.234:3150 \
  --producer.config /opt/kafka/kafka.properties \
  --topic test-topic \
  --producer-property sasl.jaas.config='org.apache.kafka.common.security.scram.ScramLoginModule required username="kafka-ae5da948-bpx-user1" password="fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta";'

# 方法 2：用 $'...' 语法（Shell 会处理转义）
kafka-console-producer.sh \
  --bootstrap-server 10.10.180.234:3150 \
  --producer.config /opt/kafka/kafka.properties \
  --topic test-topic \
  --producer-property sasl.jaas.config=$'org.apache.kafka.common.security.scram.ScramLoginModule required username="kafka-ae5da948-bpx-user1" password="fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta";'

场景 3：密码复杂，担心配置文件明文暴露

进阶方案：
用 环境变量 或 外部文件 传递密码，避免明文写配置。

（1）环境变量方式

# 1. 先设置环境变量（转义后的值）
export KAFKA_JAAS_PASSWORD="fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta"

# 2. 在配置里引用环境变量
sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
  username="kafka-ae5da948-bpx-user1" \
  password="${KAFKA_JAAS_PASSWORD}";

（2）外部文件方式

# 1. 把密码存到安全文件（权限设为 600）
echo 'fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta' > /opt/kafka/jaas_password.txt
chmod 600 /opt/kafka/jaas_password.txt

# 2. 在配置里用命令替换（需确保 Shell 支持）
sasl.jaas.config=org.apache.kafka.common.security.scram.ScramLoginModule required \
  username="kafka-ae5da948-bpx-user1" \
  password="$(cat /opt/kafka/jaas_password.txt)";

三、验证方法（确保密码正确传递）

打印客户端实际加载的配置：
在 Kafka 客户端代码/脚本里，添加调试日志，或用 echo 输出 sasl.jaas.config 的实际值，确认密码是否正确解析。

简化测试：
写一个最小化的 Producer/Consumer 示例，只包含 SASL 配置，测试认证是否通过。

// 示例：Producer 测试代码（Java）
Properties props = new Properties();
props.put("bootstrap.servers", "10.10.180.234:3150");
props.put("sasl.mechanism", "SCRAM-SHA-512");
props.put("security.protocol", "SASL_PLAINTEXT");
props.put("sasl.jaas.config", "org.apache.kafka.common.security.scram.ScramLoginModule required username=\"kafka-ae5da948-bpx-user1\" password=\"fXhfWwrkPtRJeeAagJA9gEtFnIWAf9P\\3C2L3jd$GM09UYh7NHb5CuglwN?cR7Ta\";");

Producer<String, String> producer = new KafkaProducer<>(props);
producer.send(new ProducerRecord<>("test-topic", "key", "value"));
producer.close();