如何抑制Keytool生成CSR时自动添加的X509v3主体密钥标识符？

Keytool在JDK 7及以上版本默认会为生成的CSR自动添加X509v3 Subject Key Identifier扩展，要禁用这个行为可以通过以下两种方式实现：

方法一：命令行参数直接禁用 #

在生成CSR的命令中添加-ext SKID:-参数，明确移除该扩展。示例命令如下：

keytool -certreq -alias your-alias -keystore your-keystore.jks -file your-csr.csr -ext SKID:-

这个参数会覆盖Keytool的默认行为，阻止它自动注入Subject Key Identifier扩展。

方法二：通过配置文件自定义扩展规则 #

如果需要更灵活地控制CSR中的扩展项，可以创建一个自定义配置文件（比如命名为csr-config.conf），文件内容仅保留你需要的扩展配置，不要包含任何与Subject Key Identifier相关的配置项。示例配置文件内容：

[req]
distinguished_name = req_distinguished_name
[req_distinguished_name]
# 填写你的证书主体信息，例如：
# CN=your-app.example.com
# OU=Engineering
# O=Your Organization
# L=Your City
# ST=Your State
# C=Your Country Code
[v3_ext]
# 仅添加你组织授权的扩展，比如：
# authorityKeyIdentifier=keyid,issuer
# keyUsage=digitalSignature,keyEncipherment

然后生成CSR时指定这个配置文件：

keytool -certreq -alias your-alias -keystore your-keystore.jks -file your-csr.csr -extfile csr-config.conf

验证结果 #

生成CSR后，可以用OpenSSL命令检查是否已移除目标扩展：

openssl req -text -noout -in your-csr.csr

在输出内容中查找X509v3 Subject Key Identifier，如果没有相关条目，说明已成功抑制该扩展的自动添加。

内容的提问来源于stack exchange，提问作者Ashutosh Belwal