Apache Kafka 3.9，KRaft模式，3节点（控制器与代理合并部署）。集群原本已格式化，运行时未启用授权器，且仅使用PLAINTEXT传输。
目标：在不丢失数据的前提下，添加 StandardAuthorizer + SASL_SSL/OAUTHBEARER。

观察到的情况：在所有节点更新 server.properties（授权器类、super.users、OAuth监听器配置）并执行滚动重启后，代理启动，但日志显示似乎存在状态不匹配，控制器/代理的行为仿佛仍在使用变更前的配置（旧监听名称、代理间通信缺少主体上下文）。

可行的做法：停止所有节点，清除 log.dirs 和元数据日志，将 kafka-storage.sh format 与已经放在 server.properties 的授权器+ OAuth配置一起应用，然后重新启动。干净的集群，ACL和 OAuth立即生效。

问题：

1. 是否预期如此大规模的授权器变更和认证监听器变更在KRaft中需要重新格式化，因为引导元数据记录是在格式化时写入，且无法事后对账？
2. 如果存在迁移路径（例如先让控制器使用新配置再让代理；或执行元数据升级步骤），是否在某处有文档？我找不到明确的流程。
3. 在滚动重启时出现“旧配置仍在生效”的现象，是不是已知的坑？例如控制器仲裁组尚未完全赶上，就让代理在新监听器上重新连接？

解决方案

不，在KRaft中启用ACL和 OAuth通常不需要重新格式化。

参考：https://kafka.apache.org/42/security/authorization-and-acls/

参考：https://cwiki.apache.org/confluence/display/KAFKA/KIP-801%3A%2BImplement%2Ban%2BAuthorizer%2Bthat%2Bstores%2Bmetadata%2Bin%2B__cluster_metadata

参考：https://kafka.apache.org/39/operations/kraft/

参考：https://kafka.apache.org/39/configuration/broker-configs/#authorizer.class.name