Java加载加密RSA 2048私钥抛出InvalidKeySpecException问题求助

你的核心问题是：原来的代码只处理未加密的PKCS#8私钥（-----BEGIN PRIVATE KEY-----），但现在换成了加密的PKCS#8私钥（-----BEGIN ENCRYPTED PRIVATE KEY-----），必须先解密才能生成私钥对象，直接用原逻辑肯定报错。

原代码的几个明显错误 #

• 重复调用Files.readAllLines(Paths.get(path))，属于冗余代码
• Base64.getDecoder(rsaPrivateKey)是错误调用，正确写法是Base64.getDecoder().decode(rsaPrivateKey)
• KeyFactor拼写错误，应该是KeyFactory
• 直接把加密私钥的Base64内容传给PKCS8EncodedKeySpec，但加密私钥不是明文的PKCS8结构，无法直接解析

正确的处理步骤 #

加密私钥的PEM本质是加密后的PKCS#8格式数据，需要先通过密码解密得到明文私钥，再生成PrivateKey：

1. 读取PEM文件，提取中间的Base64编码内容（去掉头尾标记和换行）
2. 将Base64内容解码为字节数组，传入EncryptedPrivateKeyInfo解析加密信息
3. 使用私钥加密时的密码，生成对应的解密密钥（基于加密算法，比如常见的PBKDF2）
4. 用Cipher解密得到明文的PKCS#8私钥字节
5. 最后用明文私钥字节生成PrivateKey对象

修正后的完整代码 #

import java.nio.file.Files;
import java.nio.file.Paths;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.PKCS8EncodedKeySpec;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.PBEKeySpec;
import java.security.spec.EncryptedPrivateKeyInfo;
import java.util.Base64;

PrivateKey getPrivateKey(String path, String password) throws Exception {
    String algorithm = "RSA";
    // 读取PEM文件所有行，过滤头尾标记
    String pemContent = String.join("\n", Files.readAllLines(Paths.get(path)));
    String base64Content = pemContent.replaceAll("-----BEGIN ENCRYPTED PRIVATE KEY-----", "")
                                    .replaceAll("-----END ENCRYPTED PRIVATE KEY-----", "")
                                    .replaceAll("\\s", ""); // 去掉所有空格、换行

    // 解码Base64得到加密的PKCS8私钥字节
    byte[] encryptedPkcs8 = Base64.getDecoder().decode(base64Content);
    EncryptedPrivateKeyInfo encryptedKeyInfo = new EncryptedPrivateKeyInfo(encryptedPkcs8);

    // 根据加密算法生成解密密钥（自动匹配OpenSSL生成时的算法）
    String pbeAlgorithm = encryptedKeyInfo.getAlgName();
    PBEKeySpec pbeKeySpec = new PBEKeySpec(password.toCharArray());
    SecretKeyFactory secretKeyFactory = SecretKeyFactory.getInstance(pbeAlgorithm);
    SecretKey secretKey = secretKeyFactory.generateSecret(pbeKeySpec);

    // 初始化Cipher进行解密
    Cipher cipher = Cipher.getInstance(pbeAlgorithm);
    cipher.init(Cipher.DECRYPT_MODE, secretKey, encryptedKeyInfo.getAlgParameters());

    // 解密得到明文PKCS8私钥字节
    byte[] decryptedPkcs8 = cipher.doFinal(encryptedKeyInfo.getEncryptedData());

    // 生成PrivateKey对象
    PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(decryptedPkcs8);
    KeyFactory keyFactory = KeyFactory.getInstance(algorithm);
    return keyFactory.generatePrivate(keySpec);
}

注意事项 #

• 必须传入生成私钥时设置的密码，否则无法解密
• 代码中通过encryptedKeyInfo.getAlgName()自动获取加密算法，避免硬编码和OpenSSL版本不匹配的问题
• 处理PEM时要确保去掉所有非Base64字符（头尾标记、换行、空格），否则Base64解码会失败

内容的提问来源于stack exchange，提问作者Victor Grazi