Keycloak 22版本导入ES256（P-256）公钥时抛出异常

错误原因 #

报错中的algorithm identifier 1.2.840.10045.2.1是ECDSA的标准OID，问题出在OpenSSL生成的公钥格式不符合Keycloak的解析要求。Keycloak 22对EC公钥仅支持X.509 SPKI格式的PEM，而默认OpenSSL命令生成的可能是SEC1格式（以-----BEGIN EC PUBLIC KEY-----开头），导致解析失败。

解决方案 #

1. 重新生成符合要求的ES256密钥对与公钥

使用以下OpenSSL命令生成P-256曲线的密钥对，并导出SPKI格式的公钥：

# 生成P-256私钥
openssl ecparam -genkey -name prime256v1 -noout -out es256-private.pem

# 导出X.509 SPKI格式的公钥（Keycloak兼容格式）
openssl ec -in es256-private.pem -pubout -out es256-public.pem

生成的公钥开头应为-----BEGIN PUBLIC KEY-----，而非-----BEGIN EC PUBLIC KEY-----。

2. 转换现有公钥为兼容格式

如果已有SEC1格式的公钥，可通过以下命令转换为SPKI格式：

# 将SEC1格式私钥转换为PKCS#8格式，再导出兼容公钥
openssl pkcs8 -topk8 -nocrypt -in es256-private-original.pem -out es256-private-pkcs8.pem
openssl ec -in es256-private-pkcs8.pem -pubout -out es256-public-spki.pem

3. Keycloak导入配置验证

• 进入Realm设置 > 密钥（Keys） > 导入（Import）
• 选择密钥类型为EC Public Key
• 粘贴完整的SPKI格式公钥内容（包含首尾的PEM标记）
• 确认Realm已添加ES256密钥提供者：进入密钥 > 提供者（Providers） > 添加提供者 > 选择"EC"，设置算法为ES256

4. 检查Java环境兼容性

确保Keycloak运行的JDK版本为11及以上（OpenJDK或Oracle JDK均可），默认JDK已支持EC算法，无需额外配置。

内容的提问来源于stack exchange，提问作者Mritunjay