Java SSL：KeyManagerFactory初始化为何需两次传入密码？

先看你给出的代码片段：

KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
keyManagerFactory.init(KeyStore.getInstance(mykeyfile, password), password);

第一次传入的密码（KeyStore.getInstance参数） #

这个密码是密钥库的全局访问密码，核心作用是验证密钥库文件的完整性，防止文件被篡改，同时解锁整个密钥库，让程序能读取库内的证书、密钥条目等内容。简单说，就是打开整个密钥库文件的“大门密码”。

第二次传入的密码（KeyManagerFactory.init参数） #

这个密码是解锁密钥库中私钥的专用密码。密钥库内的私钥是单独加密存储的，必须用这个密码解密后，KeyManagerFactory才能获取到可用的私钥，进而生成KeyManager处理SSL/TLS的身份验证流程（比如服务器向客户端证明身份）。

很多场景下会把私钥密码和密钥库密码设为相同值，但从设计逻辑上，二者是独立的：前者管控整个密钥库文件的访问，后者管控库内私钥的解锁。

对应你查到的Javadoc翻译澄清：

KeyStore类说明：

• file – 密钥库
• file password – 密钥库密码

KeyManagerFactory说明：

• ks – 密钥库
• password – 用于恢复KeyStore中密钥的密码

这里的“恢复KeyStore中密钥”，本质就是解密私钥，让KeyManagerFactory能获取到可使用的私钥实例。

内容的提问来源于stack exchange，提问作者RamPrakash