Java中SecretKey序列化问题求助：Spring Boot API接口报错

问题背景 #

在实现密钥存储API时，SecretKeyDTO中直接使用了javax.crypto.SecretKey类型字段，调用接口时触发InvalidDefinitionException，原因是SecretKey是抽象接口，没有默认构造器，Jackson无法直接实例化该类型。尝试@JsonTypeInfo等方案无效，因为前端无法传递具体实现类的类型信息，且SecretKey的具体实现（如SecretKeySpec）无法被Jackson自动识别。

可行解决方案 #

方案1：自定义Jackson序列化器/反序列化器 #

通过自定义序列化逻辑，将SecretKey转为Base64字符串传输，反序列化时再还原为SecretKey实例。

1.1 实现序列化器

import com.fasterxml.jackson.core.JsonGenerator;
import com.fasterxml.jackson.databind.SerializerProvider;
import com.fasterxml.jackson.databind.ser.std.StdSerializer;
import javax.crypto.SecretKey;
import java.io.IOException;
import java.util.Base64;

public class SecretKeySerializer extends StdSerializer<SecretKey> {

    public SecretKeySerializer() {
        this(null);
    }

    public SecretKeySerializer(Class<SecretKey> t) {
        super(t);
    }

    @Override
    public void serialize(SecretKey secretKey, JsonGenerator jsonGenerator, SerializerProvider serializerProvider) throws IOException {
        // 将密钥字节编码为Base64字符串
        String encodedKey = Base64.getEncoder().encodeToString(secretKey.getEncoded());
        jsonGenerator.writeString(encodedKey);
    }
}

1.2 实现反序列化器

注意：需要明确密钥算法（如AES），如果支持多算法，可在DTO中新增algorithm字段传递算法信息。

import com.fasterxml.jackson.core.JsonParser;
import com.fasterxml.jackson.databind.DeserializationContext;
import com.fasterxml.jackson.databind.deser.std.StdDeserializer;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.io.IOException;
import java.util.Base64;

public class SecretKeyDeserializer extends StdDeserializer<SecretKey> {

    public SecretKeyDeserializer() {
        this(null);
    }

    public SecretKeyDeserializer(Class<?> vc) {
        super(vc);
    }

    @Override
    public SecretKey deserialize(JsonParser jsonParser, DeserializationContext deserializationContext) throws IOException {
        String encodedKey = jsonParser.getText();
        byte[] keyBytes = Base64.getDecoder().decode(encodedKey);
        // 这里的算法可从DTO的其他字段获取，示例固定为AES
        return new SecretKeySpec(keyBytes, "AES");
    }
}

1.3 给SecretKey字段添加注解

修改SecretKeyDTO，指定序列化/反序列化器：

import com.fasterxml.jackson.databind.annotation.JsonDeserialize;
import com.fasterxml.jackson.databind.annotation.JsonSerialize;
import javax.crypto.SecretKey;

public class SecretKeyDTO {
    private String cryptoProvider;
    private String secretKeyAlias;
    @JsonSerialize(using = SecretKeySerializer.class)
    @JsonDeserialize(using = SecretKeyDeserializer.class)
    private SecretKey secretKey;
    private char[] keyPassword;
    // 可选：新增algorithm字段，用于多算法场景
    private String algorithm;

    public SecretKeyDTO() {}

    // Getter & Setter
}

方案2：替换SecretKey为可序列化类型（推荐） #

直接在DTO中用Base64字符串存储密钥，业务逻辑中再转换为SecretKey，避免Jackson处理复杂类型：

修改SecretKeyDTO

import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

public class SecretKeyDTO {
    private String cryptoProvider;
    private String secretKeyAlias;
    private String secretKeyBase64; // 存储Base64编码的密钥字节
    private char[] keyPassword;
    private String algorithm; // 密钥算法（如AES）

    public SecretKeyDTO() {}

    // Getter & Setter

    // 业务方法：将Base64字符串转为SecretKey
    public SecretKey toSecretKey() {
        byte[] keyBytes = Base64.getDecoder().decode(secretKeyBase64);
        return new SecretKeySpec(keyBytes, algorithm);
    }
}

接口中处理转换

在控制器方法中调用toSecretKey()获取SecretKey实例：

@PostMapping(path = {"/sec-crypto/store/key"}, consumes = TYPE_JSON, produces = TYPE_JSON)
public void storeSecretKey(@RequestBody final KeystoreSecretKeyWrapper keystoreSecretKeyWrapper) throws CertificateException, IOException, NoSuchAlgorithmException, KeyStoreException, NoSuchProviderException{
    SecretKeyDTO keyDTO = keystoreSecretKeyWrapper.getSecretKeyDTO();
    SecretKey secretKey = keyDTO.toSecretKey();
    // 后续业务逻辑
}

为什么@JsonTypeInfo无效？ #

@JsonTypeInfo需要前端传递具体实现类的类型信息（如SecretKeySpec），但前端通常无法知晓后端的具体实现类，且SecretKey的实现类多为JDK内部类，Jackson无法自动识别并实例化，因此该方案不适用此场景。

内容的提问来源于stack exchange，提问作者Sinnedkid