升级JDK11.0.17后PBKDF2WithSHA512-256 SecretKeyFactory不可用求助

行为变更说明 #

Oracle JDK/OpenJDK 11的后续更新版本（如11.0.17）对加密算法名称的校验逻辑做了调整。PBKDF2WithSHA512-256并非JCE规范定义的标准算法名称，早期11.0.1版本中SunJCE提供商可能兼容支持了这个非标准名称，但在更新版本中，这类非标准名称的实现被移除或严格校验，导致抛出NoSuchAlgorithmException。

解决方案 #

• 使用标准算法名称替代：
  标准的SHA-512版PBKDF2算法名称为PBKDF2WithHmacSHA512，直接替换代码中的算法名称即可：

  SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");
  

  若需要生成256位密钥，可在PBEKeySpec中指定密钥长度参数，示例：

  PBEKeySpec keySpec = new PBEKeySpec(password.toCharArray(), salt, iterations, 256);
  

  此方式完全符合JCE规范，且后续JDK版本兼容性更强。

• 验证业务逻辑一致性：
  替换算法后，需验证相同输入（密码、盐、迭代次数、密钥长度）下，生成的密钥是否与原逻辑一致。如果原PBKDF2WithSHA512-256本质就是基于SHA-512的PBKDF2实现，替换标准名称后结果完全匹配。

• 临时应急兼容方案（不推荐长期使用）：
  若必须保留原算法名称，可检查JDK安装目录下的conf/security/java.security配置文件，确认是否包含支持该算法的加密提供商，或手动引入第三方加密扩展包。但此方式存在后续版本兼容性风险，不建议作为长期方案。

内容的提问来源于stack exchange，提问作者Kaushik LV