使用Warp crate配置Rust HTTPS服务器时遇“Identity PEM缺失”错误

问题场景 #

运行Warp服务器时触发panic，错误信息：

thread 'tokio-runtime-worker' panicked at /home/ubuntu/.cargo/registry/src/index.crates.io-6f17d22bba15001f/warp-0.3.7/src/server.rs:550:27:
error binding to 0.0.0.0:443: Identity PEM is missing a private key such as RSA, ECC or PKCS8
note: run with `RUST_BACKTRACE=1` environment variable to display a backtrace

使用的代码：

let routes = warp::any().map(|| "Hello, World!");

// Load SSL keys and certs
let cert_path = "/etc/letsencrypt/live/merivilla.com/cert.pem";
let key_path = "/etc/letsencrypt/live/merivilla.com/privkey.pem";

// start warp server
warp::serve(routes)
    .tls()
    .cert(cert_path)
    .key(key_path)
    .run(([0, 0, 0, 0], 443))
    .await;

Cargo.toml配置：

warp = {version = "0.3", features = ["tls"]}

已尝试操作：替换cert.pem为fullchain.pem/chain.pem，使用sudo运行确认权限，证书未过期。

问题解答 #

1. 什么是“Identity PEM”？ #

这里的Identity PEM指的是用于TLS身份验证的完整凭证集合，包含对应域名的证书（或证书链）以及匹配的私钥。Warp底层依赖rustls，它要求私钥必须是RSA、ECC或PKCS#8格式的标准PEM文件。

2. 错误原因及解决步骤 #

原因1：私钥格式不兼容

Let's Encrypt默认生成的privkey.pem是PKCS#1格式（开头为-----BEGIN RSA PRIVATE KEY-----），而Warp 0.3.7依赖的rustls版本对PKCS#1格式的支持有限，需要转换为PKCS#8格式：

# 将PKCS#1私钥转换为PKCS#8格式（无加密）
openssl pkcs8 -topk8 -inform PEM -in /etc/letsencrypt/live/merivilla.com/privkey.pem -outform PEM -nocrypt -out /etc/letsencrypt/live/merivilla.com/privkey-pkcs8.pem

修改代码中的key_path为转换后的privkey-pkcs8.pem即可。

原因2：证书与私钥不匹配

确认证书和私钥属于同一对：

# 计算证书的模数哈希
openssl x509 -noout -modulus -in /etc/letsencrypt/live/merivilla.com/fullchain.pem | openssl md5
# 计算私钥的模数哈希
openssl rsa -noout -modulus -in /etc/letsencrypt/live/merivilla.com/privkey.pem | openssl md5

两个命令输出的哈希值必须完全一致，否则说明证书和私钥不对应，需要重新获取正确的配对文件。

原因3：证书链不完整

建议使用fullchain.pem作为证书文件，它包含了域名证书、中间证书的完整链，既符合rustls的要求，也能避免客户端验证失败。

3. 是否需要更换证书版本？ #

不需要更换证书版本，问题出在私钥格式或证书-私钥的匹配性上，按上述步骤调整即可解决。

内容的提问来源于stack exchange，提问作者Jamie Laden