Spring Boot 3.2.x加载无密码PEM证书失败：密钥库无私钥别名

核心问题分析 #

报错No aliases for private keys found in key store说明Spring Boot未能从指定的PEM文件中识别出有效的私钥，可能的原因包括：证书与私钥不匹配、配置冲突、文件路径错误或私钥格式问题。

步骤1：验证证书与私钥的有效性 #

先确认生成的证书和私钥是匹配且可用的：

• 检查私钥是否无密码保护（符合你的需求）：

  openssl rsa -in key.pem -check
  

  执行后若无需输入密码且输出RSA key ok，则私钥格式正确。
• 验证证书与私钥的一致性：

  # 获取证书模数的MD5值
  openssl x509 -noout -modulus -in cert.pem | openssl md5
  # 获取私钥模数的MD5值
  openssl rsa -noout -modulus -in key.pem | openssl md5
  

  两个命令的输出必须完全一致，否则说明证书和私钥不匹配，需要重新生成。

步骤2：清理冲突配置 #

检查你的application.properties中是否存在旧版SSL配置项，比如：

server.ssl.key-store=xxx.jks
server.ssl.key-store-password=xxx

这类配置会覆盖PEM相关的设置，导致Spring Boot强制加载JKS密钥库，必须删除所有此类旧配置。

步骤3：调整配置方案 #

方案A：使用SSL Bundle（推荐） #

确保配置项拼写正确，且文件路径无误：

spring.ssl.bundle.pem.server.reload-on-update=true
spring.ssl.bundle.pem.server.keystore.certificate=classpath:cert.pem
spring.ssl.bundle.pem.server.keystore.private-key=classpath:key.pem

server.ssl.bundle=server
server.port=8069

确认cert.pem和key.pem放在src/main/resources目录下，打包后能被正确读取。

方案B：不使用SSL Bundle #

若不需要客户端证书验证，先移除server.ssl.client-auth=NEED；若确实需要客户端验证，需补充信任库配置（用自签名证书作为信任库）：

server.ssl.certificate=classpath:cert.pem
server.ssl.certificate-private-key=classpath:key.pem
# 启用客户端证书验证时添加
server.ssl.trust-certificate=classpath:cert.pem
server.ssl.client-auth=NEED

步骤4：调试确认配置生效 #

启动应用时添加--debug参数，查看条件评估报告，确认Spring Boot加载了PemSslBundle相关的配置类，而非传统的JKS密钥库配置。

可能的额外问题 #

如果私钥是PKCS#8格式（虽然你的openssl命令生成的是PKCS#1，Spring Boot 3.1+已支持），若仍有问题，可将私钥转换为PKCS#8格式：

openssl pkcs8 -topk8 -inform PEM -in key.pem -out key.p8 -nocrypt

然后修改配置中的私钥路径为classpath:key.p8。

内容的提问来源于stack exchange，提问作者Axel