如何使用Swift从P7B（PKCS7）字符串中解析所有证书？

核心问题梳理 #

• 使用PKCS7类解析P7B字符串时，证书计数始终为0
• 不确定是否需传入DER编码数据，无法验证P7B格式有效性
• 最终目标：将证书安装到Mac登录钥匙串（已存在对应公私钥）

关键排查与解决步骤 #

1. 确认PKCS7数据格式要求 #

PKCS7(data:)初始化方法要求传入DER编码的二进制数据，你通过base64解码得到的Data本质就是DER格式，这点无需怀疑。但要注意：

• 避免强制解包：检查data是否为空，防止运行时崩溃
• 区分PEM与DER格式：如果你的P7B字符串带有-----BEGIN PKCS7-----/-----END PKCS7-----头尾，需先移除这些标识再解码

2. 验证P7B格式的本地方法 #

Windows能安装不代表格式完全符合标准，可通过以下方式验证：

• Keychain Access直接验证：将base64字符串保存为.p7b文件，双击打开，若能正常显示证书列表，说明格式有效
• OpenSSL命令验证（修正参数避免报错）：

  # 将P7B字符串写入文件
  echo "你的P7B字符串" > cert.p7b
  # 解析PKCS7证书（指定DER格式输入）
  openssl pkcs7 -in cert.p7b -inform DER -print_certs
  

  若报错，检查字符串是否包含非base64字符（如换行、空格），可先清理后再尝试

3. 修正Swift解析代码 #

优化原有代码，增加错误处理，同时提供Security框架的替代解析方案（兼容性更强）：

方案1：优化PKCS7类解析

guard let decodedStr = dotP7b.removingPercentEncoding,
      let derData = Data(base64Encoded: decodedStr, options: .ignoreUnknownCharacters),
      let pkcs7 = try? PKCS7(data: derData) else {
    print("数据解码或PKCS7初始化失败")
    return
}

// 先检查PKCS7类型，仅签名数据类型包含证书集合
if pkcs7.type == .signedData {
    print("提取到证书数量：\(pkcs7.certificates.count)")
} else {
    print("当前PKCS7不是签名数据类型，无法提取证书")
}

方案2：使用Security框架直接解析

import Security

func extractCertificates(from derData: Data) -> [SecCertificate] {
    var certificates: [SecCertificate] = []
    // 无密码则传入空字符串
    let importOptions: [CFString: Any] = [kSecImportExportPassphrase: ""]
    
    var importedItems: CFArray?
    let status = SecPKCS7Import(derData as CFData, importOptions as CFDictionary, &importedItems)
    
    guard status == errSecSuccess, let items = importedItems as? [[CFString: Any]] else {
        return certificates
    }
    
    for item in items {
        if let certChain = item[kSecImportItemCertChain] as? [SecCertificate] {
            certificates.append(contentsOf: certChain)
        }
    }
    return certificates
}

// 调用示例
if let decodedStr = dotP7b.removingPercentEncoding,
   let derData = Data(base64Encoded: decodedStr, options: .ignoreUnknownCharacters) {
    let certs = extractCertificates(from: derData)
    print("提取到证书数量：\(certs.count)")
}

4. 安装证书到Mac登录钥匙串 #

提取证书后，使用Security框架将其安装到指定钥匙串：

func installToLoginKeychain(_ certificate: SecCertificate) -> Bool {
    let addQuery: [CFString: Any] = [
        kSecClass: kSecClassCertificate,
        kSecValueRef: certificate,
        kSecAttrAccessible: kSecAttrAccessibleWhenUnlocked,
        kSecAttrKeychain: kSecAttrKeychainLogin // 指定登录钥匙串
    ]
    
    let status = SecItemAdd(addQuery as CFDictionary, nil)
    // 允许重复安装（已存在时返回errSecDuplicateItem）
    return status == errSecSuccess || status == errSecDuplicateItem
}

// 调用示例
for cert in certs {
    let result = installToLoginKeychain(cert)
    print("证书安装\(result ? "成功" : "失败")")
}

补充说明 #

• Windows证书解析兼容性更强，能忽略部分非标准格式问题，因此能安装不代表格式完全符合DER规范
• 若钥匙串已存在对应公私钥，安装证书后系统会自动完成关联（前提是证书与公私钥配对）

内容的提问来源于stack exchange，提问作者ahad alam