iOS 17.5及以下SecPKCS12Import调用失败，iOS18.0正常

问题描述 #

一直使用SecPKCS12Import从.p12证书中获取kSecImportItemIdentity，该方法在iOS 18.0上运行正常，但在iOS 17.5及更低版本中返回错误码-25293（对应errSecAuthFailed，认证失败）。使用Swift 5.0和Xcode 16，证书密码包含大小写字母、数字及特殊字符(!和*)。相关代码如下：

let certURL = Bundle.main.url(forResource: "my_certificate", withExtension: "p12")
 
guard let certURL = certURL,
      let pkcs12Data = try? Data(contentsOf: URL(fileURLWithPath: certURL.path)) else {
          print("Failed to load .p12 file.")
          throw NSError(domain: "CertError", code: -1, userInfo: nil)
      }

let cfPkcs12Data = pkcs12Data as CFData

let options: [String: Any] = [
    kSecImportExportPassphrase as String: "my_password"
]
var results: CFArray?

let status = SecPKCS12Import(cfPkcs12Data, options as NSDictionary, &results)

注：原代码片段存在中文引号使用问题，已替换为英文引号，这大概率是核心诱因之一。

可能原因及解决方案 #

1. 中文引号导致密码匹配失败 #

Swift要求字符串使用英文双引号，若代码中误用中文双引号（如原代码里的“my_password”），中文引号会被当作字符串内容的一部分，导致传入的密码与实际证书密码不匹配。iOS 18可能对这类错误有容错处理，但旧版本严格校验，因此返回errSecAuthFailed。

• 解决方案：将代码中所有中文引号替换为英文双引号，确保密码字符串完全匹配证书的实际密码。

2. p12证书加密算法不兼容旧iOS版本 #

iOS 18新增了对更高级加密算法的支持（如AES-256-GCM），而iOS 17.5及以下版本仅支持传统算法（如AES-128-CBC）。若.p12证书用新算法生成，旧系统会无法解密。

• 验证方法：用OpenSSL命令查看证书加密信息：

  openssl pkcs12 -info -in my_certificate.p12
  

  输出中会显示Encrypted private key和Encrypted certificate对应的加密算法。
• 解决方案：重新生成.p12证书，使用兼容旧系统的加密套件，例如：

  openssl pkcs12 -export -in cert.pem -inkey key.pem -out my_certificate.p12 -certfile ca.pem -legacy
  

  -legacy参数会启用旧版兼容的加密规则。

3. 文件加载路径冗余处理引发异常 #

代码中用URL(fileURLWithPath: certURL.path)转换已有的Bundle文件URL属于冗余操作，可能在旧系统中引入路径解析问题。

• 解决方案：直接使用原始的certURL加载数据：

  let pkcs12Data = try? Data(contentsOf: certURL)
  

4. 密码字符串编码解析差异 #

特殊字符(!和*)在不同编码下可能存在解析差异，旧iOS版本对字符串编码的处理更严格。

• 解决方案：显式确保密码以UTF-8编码传递：

  guard let passwordData = "my_password".data(using: .utf8),
        let password = String(data: passwordData, encoding: .utf8) else {
      throw NSError(domain: "PasswordError", code: -1, userInfo: nil)
  }
  let options: [String: Any] = [
      kSecImportExportPassphrase as String: password
  ]
  

内容的提问来源于stack exchange，提问作者Xuân Tùng