将SalesForce Java密钥库签名代码转换为C#遇到的问题

在C#里，.NET原生不支持JKS格式的密钥库，你可以用BouncyCastle这个第三方库实现和Java代码对应的功能，下面是完整的实现步骤：

1. 安装BouncyCastle NuGet包 #

通过NuGet包管理器或者Package Manager控制台安装Org.BouncyCastle包，这是处理JKS密钥库的核心依赖。

2. 加载JKS密钥库并获取私钥 #

对应Java代码中加载KeyStore的部分，用BouncyCastle的KeyStore类来解析JKS文件：

using Org.BouncyCastle.Security;
using Org.BouncyCastle.Pkcs;
using System.IO;

// 加载JKS密钥库
var keyStore = Org.BouncyCastle.Security.KeyStore.GetInstance("JKS");
using (var fs = new FileStream(@"C:\temp\TestCert.jks", FileMode.Open, FileAccess.Read))
{
    keyStore.Load(fs, "keystorepassword".ToCharArray());
}

// 获取指定别名的私钥（如果私钥有单独密码就传入，没有则和密钥库密码一致）
var alias = "certalias";
var privateKeyEntry = (AsymmetricKeyEntry)keyStore.GetEntry(alias, new PasswordProtection("privatekeypassword".ToCharArray()));
var privateKey = privateKeyEntry.Key;

3. 对JWT头部+声明的组合进行签名 #

对应Java代码中的签名逻辑，用BouncyCastle的签名工具完成SHA256withRSA签名，并生成URL安全的Base64字符串：

using Org.BouncyCastle.Crypto.Signers;
using Org.BouncyCastle.Crypto.Digests;
using Org.BouncyCastle.Utilities.Encoders;
using System.Text;

// 假设token是你拼接好的JWT头部+". "+声明对象的字符串
string token = "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ";

// 初始化签名器，算法对应SHA256withRSA
var signer = new RsaDigestSigner(new Sha256Digest());
signer.Init(true, privateKey);

// 更新签名内容
byte[] tokenBytes = Encoding.UTF8.GetBytes(token);
signer.BlockUpdate(tokenBytes, 0, tokenBytes.Length);

// 生成签名并转为URL安全的Base64
byte[] signatureBytes = signer.GenerateSignature();
string signedPayload = Base64.ToUrlSafeString(signatureBytes);

你当前代码的问题 #

1. 直接用X509Certificate2加载JKS文件是错误的：JKS是密钥库容器，包含多个密钥/证书条目，不是单个证书文件，X509Certificate2无法解析它。
2. 错误获取了证书的签名值：你代码中拿到的是证书本身的签名，不是用来签名JWT的私钥，必须从密钥库中提取私钥，用私钥对JWT内容进行签名。

内容的提问来源于stack exchange，提问作者apolloSN