Python通过FastAPI实现PPK转PEM并连接SFTP的技术问题求助

一、修复puttygen+subprocess临时文件为空的问题 #

你遇到的临时文件空、私钥无效问题，大概率是puttygen的参数和密码传递方式不对——puttygen默认交互式读取密码，直接用命令行参数传密码不被支持，导致转换失败。以下是修正后的实现：

核心要点 #

1. 用-P参数让puttygen从**标准输入(stdin)**读取密码，而非交互式输入
2. 确保临时文件路径正确，转换后可验证内容
3. 捕获puttygen的错误输出，方便调试

代码示例 #

import tempfile
import subprocess
import os
from fastapi import FastAPI, UploadFile
import paramiko

app = FastAPI()

@app.post("/sftp-download")
async def sftp_download(ppk_file: UploadFile, ppk_password: str, sftp_host: str, sftp_user: str, remote_path: str):
    # 临时保存上传的PPK文件（puttygen需要文件路径）
    with tempfile.NamedTemporaryFile(delete=False, suffix=".ppk") as ppk_temp:
        ppk_temp.write(await ppk_file.read())
        ppk_temp_path = ppk_temp.name

    pem_temp_path = None
    try:
        # 创建PEM临时文件
        with tempfile.NamedTemporaryFile(delete=False, suffix=".pem") as pem_temp:
            pem_temp_path = pem_temp.name

        # 调用puttygen转换，stdin传递密码
        proc = subprocess.run(
            ["puttygen", ppk_temp_path, "-O", "private-openssh", "-o", pem_temp_path, "-P"],
            input=ppk_password.encode(),
            capture_output=True,
            check=True
        )

        # 验证PEM文件内容（可选，用于调试）
        with open(pem_temp_path, "r") as f:
            pem_content = f.read()
        if not pem_content.startswith("-----BEGIN OPENSSH PRIVATE KEY-----"):
            raise ValueError("转换后的PEM文件无效")

        # 连接SFTP并下载文件（内存中读取）
        ssh_client = paramiko.SSHClient()
        ssh_client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
        ssh_client.connect(
            hostname=sftp_host,
            username=sftp_user,
            key_filename=pem_temp_path
        )
        sftp = ssh_client.open_sftp()
        with sftp.open(remote_path, "rb") as remote_f:
            file_content = remote_f.read()
        sftp.close()
        ssh_client.close()

        return {"status": "success", "file_content": file_content.decode()}
    finally:
        # 强制清理临时文件
        if os.path.exists(ppk_temp_path):
            os.unlink(ppk_temp_path)
        if pem_temp_path and os.path.exists(pem_temp_path):
            os.unlink(pem_temp_path)

二、纯Python无依赖方案（推荐） #

如果不想依赖外部工具puttygen，可以直接用paramiko+cryptography在内存中完成PPK转PEM，全程无需落地文件，更高效可靠：

代码示例 #

from fastapi import FastAPI, UploadFile
import paramiko
from io import StringIO
from cryptography.hazmat.primitives import serialization

app = FastAPI()

def ppk_to_pem(ppk_content: bytes, password: str) -> bytes:
    # 解析PPK文件内容
    ppk = paramiko.PPKFile.from_string(ppk_content)
    # 解密私钥
    private_key = ppk.decrypt(password)
    # 转换为OpenSSH格式的PEM
    return private_key.private_bytes(
        encoding=serialization.Encoding.PEM,
        format=serialization.PrivateFormat.OpenSSH,
        encryption_algorithm=serialization.NoEncryption()
    )

@app.post("/sftp-download")
async def sftp_download(ppk_file: UploadFile, ppk_password: str, sftp_host: str, sftp_user: str, remote_path: str):
    # 读取上传的PPK内容（内存中）
    ppk_content = await ppk_file.read()
    # 转换为PEM（全程内存操作）
    pem_content = ppk_to_pem(ppk_content, ppk_password)

    # 加载PEM连接SFTP
    ssh_client = paramiko.SSHClient()
    ssh_client.set_missing_host_key_policy(paramiko.AutoAddPolicy())
    ssh_client.connect(
        hostname=sftp_host,
        username=sftp_user,
        pkey=paramiko.RSAKey.from_private_key(StringIO(pem_content.decode()))
    )
    sftp = ssh_client.open_sftp()
    with sftp.open(remote_path, "rb") as remote_f:
        file_content = remote_f.read()
    sftp.close()
    ssh_client.close()

    return {"status": "success", "file_content": file_content.decode()}

三、关于Chilkat库的说明 #

Chilkat是商业加密库，确实支持PPK转PEM，但它是闭源付费的，对于单纯的PPK转PEM需求完全没必要。上面的纯Python方案基于开源库，功能足够、维护成本低，优先推荐。如果你的业务场景有其他Chilkat专属的加密需求，可以考虑使用，但不需要为PPK转PEM单独引入它。

排查技巧 #

• 如果仍提示无效私钥：检查PPK文件是否为RSA类型，或用纯Python方案中的paramiko.PPKFile解析，避免命令行工具的兼容性问题
• 调试puttygen时，打印proc.stderr.decode()查看具体错误信息
• 确保上传的PPK文件未损坏，密码输入正确

内容的提问来源于stack exchange，提问作者hungry_in_learning