年度签名续订后Pkpass生成失败问题排查

核心结论 #

OpenSSL版本差异有可能是诱因，但证书提取错误、密钥不匹配是DecryptFail的最常见根源，建议按以下优先级排查：

1. 验证证书/密钥的正确性 #

DecryptFail绝大多数情况源于提取的证书和私钥无效或不匹配：

• 确认从.p12提取私钥时输入了正确密码，且提取命令正确。推荐使用带-nodes参数的命令移除私钥密码（wallet-py3k通常不支持加密私钥）：

  openssl pkcs12 -in new_cert.p12 -nocerts -out private.key -nodes
  openssl pkcs12 -in new_cert.p12 -clcerts -nokeys -out certificate.pem
  

• 校验证书与私钥的匹配性：执行以下两个命令，输出的MD5哈希必须完全一致：

  openssl x509 -noout -modulus -in certificate.pem | openssl md5
  openssl rsa -noout -modulus -in private.key | openssl md5
  

2. OpenSSL版本差异的影响验证 #

不同版本的OpenSSL确实可能引发兼容性问题：

• 若你在本地用旧版本OpenSSL提取证书，却在Lambda中用openssl11生成PKPass，可能因加密算法或参数格式差异导致失败。建议在本地使用与Lambda层相同的openssl11版本重新提取证书并测试生成流程。
• 确认Lambda环境中wallet-py3k确实调用了openssl11：检查Lambda层的路径是否被加入PATH环境变量，可在函数中执行which openssl验证当前使用的版本。

3. WWDR证书与信任链检查 #

即便未改动WWDR证书，也需确认其有效性：

• 检查WWDR证书是否过期，确保使用的是苹果当前有效的全球开发者关系证书。
• 验证信任链完整性：执行命令openssl verify -CAfile wwdr.pem certificate.pem，返回OK则说明信任链有效。

4. Lambda环境的权限与路径校验 #

• 确认新证书文件的权限设置正确（如644），Lambda执行角色拥有读取文件的权限。
• 检查代码中证书文件的路径是否正确，避免因部署时文件位置变更导致无法读取。

内容的提问来源于stack exchange，提问作者YuKa