Spring Boot集成Let's Encrypt密钥库失败：别名不识别密钥条目

我通过以下命令创建PKCS12密钥库：

sudo openssl pkcs12 -export -in /etc/letsencrypt/live/mypage/fullchain.pem -inkey /etc/letsencrypt/live/mypage/privkey.pem -out /opt/mypage/mypage.p12 -name mypage -CAfile /etc/letsencrypt/live/mypage/chain.pem -caname root -passout pass:changeit

我的Spring Boot配置如下：

server.ssl.enabled=true
server.port=443
server.ssl.key-store=/opt/mypage/mypage.p12
server.ssl.key-store-password=changeit
server.ssl.keyStoreType=PKCS12
server.ssl.keyAlias=mypage

用keytool查看密钥库详情：

keytool -list -keystore mypage.p12

输出结果：

Keystore type: PKCS12
Keystore provider: SUN

Your keystore contains 1 entry

mypage, Mar 7, 2023, PrivateKeyEntry, 
Certificate fingerprint (SHA-256): ...

但启动Spring应用时始终抛出异常：

Caused by: java.io.IOException: Alias name [mypage] does not identify a key entry

已经排查数小时仍未找到问题，请问哪里操作有误？

1. 修正密钥库文件权限 #

你用sudo创建的/opt/mypage/mypage.p12，大概率当前运行Spring应用的用户没有读取权限。执行以下命令调整：

sudo chown [应用运行用户名]:[用户组] /opt/mypage/mypage.p12
sudo chmod 640 /opt/mypage/mypage.p12

比如应用用tomcat用户运行，就替换为sudo chown tomcat:tomcat /opt/mypage/mypage.p12。

2. 验证别名的精确匹配 #

PKCS12的别名在Java环境中区分大小写，哪怕keytool显示的是小写mypage，也可能存在隐藏的大小写或空格问题。用详细模式查看：

keytool -list -v -keystore /opt/mypage/mypage.p12

仔细核对输出里的Alias name字段，确保和Spring配置的mypage完全一致。

3. 避免用sudo生成密钥库 #

sudo生成的文件会带上root权限，后续应用读取时容易触发权限问题。切换到应用运行用户（或普通用户）重新生成：

openssl pkcs12 -export -in /etc/letsencrypt/live/mypage/fullchain.pem -inkey /etc/letsencrypt/live/mypage/privkey.pem -out /opt/mypage/mypage_new.p12 -name mypage -CAfile /etc/letsencrypt/live/mypage/chain.pem -caname root -passout pass:changeit

生成后调整权限，替换原密钥库文件。

4. 检查Spring配置项大小写 #

确认server.ssl.keyStoreType=PKCS12是大写形式，小写pkcs12可能导致Java无法正确识别密钥库类型。

5. 用keytool重新导入证书 #

如果以上方法无效，直接用keytool重新构建密钥库，确保别名和密钥条目正确关联：

# 备份原密钥库后执行删除操作
keytool -delete -alias mypage -keystore /opt/mypage/mypage.p12 -storepass changeit
# 导入私钥到新密钥库
keytool -importkeystore -srckeystore /etc/letsencrypt/live/mypage/privkey.pem -srcstoretype PKCS8 -destkeystore /opt/mypage/mypage_new.p12 -deststoretype PKCS12 -alias mypage -deststorepass changeit
# 导入完整证书链
keytool -importcert -file /etc/letsencrypt/live/mypage/fullchain.pem -keystore /opt/mypage/mypage_new.p12 -alias mypage -storepass changeit

内容的提问来源于stack exchange，提问作者ave4496