如何从.jks文件提取PEM格式密钥，解决PyJWT签名JWT时的格式错误问题

这个问题很常见——pyjks加载的私钥是Java原生格式的对象，而PyJWT确实需要PEM编码的密钥字符串（或兼容的cryptography密钥对象）来完成RS512签名。下面是完整的解决方案，包含代码修改和关键步骤解释：

前置依赖 #

确保你已经安装了所有必要的库：

pip install pyjwt pyjks cryptography

cryptography是pyjks处理密钥转换的底层依赖，同时也是PyJWT支持密钥对象的基础。

修改后的代码实现 #

我们需要将pyjks加载的私钥转换为PEM格式，再传入PyJWT：

import os
from datetime import datetime, timedelta, timezone
import jwt
import jks
from cryptography.hazmat.primitives import serialization

# 你的原有代码部分
userDto = user
payload = { 
    "iss": "test", 
    "exp": datetime.now(tz=timezone.utc) + timedelta(days=365), 
    "iat": datetime.now(tz=timezone.utc), 
    "nbf": datetime.now(tz=timezone.utc), 
    "sub": "testUser", 
    "auth": userDto 
}
keystorePath = os.path.abspath("KeyStore.jks")
keystorePass = "test"
keyAlias = "test"

# 加载JKS密钥库并处理私钥
keystore = jks.KeyStore.load(keystorePath, keystorePass)
pk = keystore.private_keys[keyAlias]

# 解密私钥（如果私钥有单独的密码，这里传入私钥密码，否则用密钥库密码）
pk.decrypt(keystorePass)

# 将Java私钥转换为PEM格式字符串
pem_private_key = pk.private_key.private_bytes(
    encoding=serialization.Encoding.PEM,
    format=serialization.PrivateFormat.PKCS8,
    encryption_algorithm=serialization.NoEncryption()
).decode('utf-8')

# 使用PEM密钥签名JWT
encoded = jwt.encode(payload, pem_private_key, algorithm="RS512")

关键步骤解释 #

1. 解密私钥：JKS中的私钥通常是加密存储的，必须调用pk.decrypt()解锁。如果你的私钥设置了单独的密码（和密钥库密码不同），请传入私钥对应的密码，而不是密钥库密码。
2. 转换为PEM格式：
   • pk.private_key是pyjks通过cryptography解析出的RSAPrivateKey对象
   • 调用private_bytes()将其导出为PEM编码的字节流，再转换为字符串
   • 选择PKCS8格式是因为它是跨语言兼容的通用私钥格式，PyJWT完美支持
   • NoEncryption()表示导出明文的PEM密钥（如果需要加密导出，可以替换为对应的加密算法，但PyJWT签名不需要加密的密钥）

额外简化方案 #

其实PyJWT也支持直接传入cryptography的RSAPrivateKey对象，你也可以省略PEM转换步骤，直接传入密钥对象：

encoded = jwt.encode(payload, pk.private_key, algorithm="RS512")

但转换为PEM格式的好处是可以将密钥持久化存储（比如写入文件），或者在其他需要PEM的场景复用，灵活性更高。

内容的提问来源于stack exchange，提问作者Felix