部署kafka-ui遇密钥库密码错误，如何解密keystore/truststore文件？

部署AKHQ（Kafka UI）时出现SSL密钥库密码错误，报错日志如下：

Caused by: java.io.IOException: keystore password was incorrect
    at java.base/sun.security.pkcs12.PKCS12KeyStore.engineLoad(Unknown Source)
    at java.base/sun.security.util.KeyStoreDelegator.engineLoad(Unknown Source)
    at java.base/java.security.KeyStore.load(Unknown Source)
    at org.apache.kafka.common.security.ssl.DefaultSslEngineFactory$FileBasedStore.load(DefaultSslEngineFactory.java:372)
    ... 42 common frames omitted
Caused by: java.security.UnrecoverableKeyException: failed to decrypt safe contents entry: javax.crypto.BadPaddingException: Given final block not properly padded. Such issues can arise if a bad key is used during decryption.
    ... 46 common frames omitted

以下是在持有正确密码和必要文件时，解密Keystore/Clientstore的操作步骤：

1. 验证密钥库密码有效性 #

先用keytool命令确认密码是否真的可用：

keytool -list -keystore your-keystore.p12

如果能正常列出密钥库条目，说明密码无误，问题可能出在AKHQ配置的密码格式（比如特殊字符未转义）或密钥库类型配置错误。

2. 导出明文证书（PEM格式） #

执行命令将密钥库中的证书导出为可直接查看的明文文件：

keytool -exportcert -keystore your-keystore.p12 -alias your-alias -file certificate.crt -rfc

输入密钥库密码后，当前目录会生成certificate.crt，用文本编辑器即可查看内容。

3. 导出明文私钥（PEM格式） #

借助openssl工具将PKCS12格式密钥库中的私钥导出为明文：

• 导出包含私钥和证书的PEM文件（可选择设置加密密码，留空则生成未加密私钥）：

openssl pkcs12 -in your-keystore.p12 -out keystore.pem

• 仅导出未加密的私钥：

openssl pkcs12 -in your-keystore.p12 -nodes -nocerts -out private-key.pem

4. 验证导出内容的完整性 #

• 检查证书详情：

openssl x509 -in certificate.crt -text -noout

• 检查私钥有效性：

openssl rsa -in private-key.pem -check

额外排查点 #

• 确认AKHQ配置中akhq.security.ssl.keystore-password和akhq.security.ssl.key-password是否匹配（部分场景下密钥库密码与密钥密码不同）。
• 若密钥库为PKCS12格式，需在配置中明确指定akhq.security.ssl.keystore-type: PKCS12，避免默认JKS格式导致的兼容问题。

内容的提问来源于stack exchange，提问作者pkaramol