Java读取Google OAuth2签名JWT私钥失败的解决方法

问题背景 #

尝试通过OAuth2获取Bearer Token连接GCP服务账户，使用Google API Console提供的RSA私钥，采用SHA256withRSA算法签名JWT。但Java代码读取私钥时抛出InvalidKeySpecException，用OpenSSL转换为PKCS#8格式也失败，提示无法加载密钥。

错误原因 #

1. 私钥格式不匹配：Google服务账户下载的私钥为PKCS#1格式的PEM文件（头部为-----BEGIN RSA PRIVATE KEY-----），而代码中直接使用PKCS8EncodedKeySpec读取，该类仅支持PKCS#8格式密钥。
2. 代码读取逻辑错误：直接读取文件字节流，未处理PEM文件的头部、尾部及Base64编码，导致密钥格式无效。
3. OpenSSL命令适配问题：默认转换命令未明确适配PKCS#1格式，无法识别原密钥。

解决步骤 #

方法一：正确转换私钥为PKCS#8格式（DER编码） #

使用OpenSSL将PKCS#1格式的PEM私钥转换为PKCS#8格式的DER编码文件，命令如下：

openssl pkcs8 -topk8 -inform PEM -outform DER -in myprivatekey.pem -nocrypt -v1 PBE-SHA1-3DES > pkcs8_key.der

说明：-v1 PBE-SHA1-3DES参数用于适配PKCS#1到PKCS#8的格式转换，避免识别错误。

方法二：修改Java代码直接读取PKCS#1格式私钥 #

若不想转换格式，可通过解析PKCS#1私钥的CRT字段创建RSAPrivateKey，示例代码：

import java.io.IOException;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.RSAPrivateCrtKeySpec;
import java.util.Base64;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

public class RsaPrivateKeyReader {
    public static PrivateKey readPrivateKey(String keyPath) throws Exception {
        String keyContent = new String(Files.readAllBytes(Paths.get(keyPath)));
        
        // 提取PEM中的Base64内容
        Pattern pattern = Pattern.compile("-----BEGIN RSA PRIVATE KEY-----(.*?)-----END RSA PRIVATE KEY-----", Pattern.DOTALL);
        Matcher matcher = pattern.matcher(keyContent);
        if (!matcher.find()) {
            throw new IllegalArgumentException("Invalid RSA private key PEM file");
        }
        
        String base64Key = matcher.group(1).replaceAll("\\s", "");
        byte[] keyBytes = Base64.getDecoder().decode(base64Key);
        
        // 依赖BouncyCastle解析PKCS#1私钥（需引入bcprov-jdk15on依赖）
        org.bouncycastle.asn1.pkcs.RSAPrivateKey pkcs1Key = org.bouncycastle.asn1.pkcs.RSAPrivateKey.getInstance(keyBytes);
        RSAPrivateCrtKeySpec keySpec = new RSAPrivateCrtKeySpec(
                pkcs1Key.getModulus(),
                pkcs1Key.getPublicExponent(),
                pkcs1Key.getPrivateExponent(),
                pkcs1Key.getPrime1(),
                pkcs1Key.getPrime2(),
                pkcs1Key.getExponent1(),
                pkcs1Key.getExponent2(),
                pkcs1Key.getCoefficient()
        );
        
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        return keyFactory.generatePrivate(keySpec);
    }
}

方法三：使用Google官方库简化操作（推荐） #

直接使用Google Auth Library加载服务账户JSON密钥文件，自动处理私钥格式和Token生成，无需手动解析：

import com.google.auth.oauth2.ServiceAccountCredentials;
import java.io.FileInputStream;
import java.io.IOException;
import java.util.Collections;

public class GcpTokenGenerator {
    public static void main(String[] args) throws IOException {
        // 加载从Google Console下载的完整服务账户JSON密钥文件
        ServiceAccountCredentials credentials = ServiceAccountCredentials.fromStream(
                new FileInputStream("service-account-key.json"))
                .createScoped(Collections.singletonList("https://www.googleapis.com/auth/cloud-platform"));
        
        // 获取Bearer Token
        String bearerToken = credentials.refreshAccessToken().getTokenValue();
        System.out.println("Bearer Token: " + bearerToken);
    }
}

Maven依赖配置：

<dependency>
    <groupId>com.google.auth</groupId>
    <artifactId>google-auth-library-oauth2-http</artifactId>
    <version>1.20.0</version>
</dependency>

关键说明 #

Google Console提供的RSA私钥是有效的，问题仅在于格式处理和代码实现。推荐使用官方库，避免手动处理密钥格式的繁琐和错误。

内容的提问来源于stack exchange，提问作者AbuMariam