无法通过OpenSSL导出域名签名证书至PKCS12格式的问题求助

错误原因分析 #

从你给出的错误信息最后一行empty password可以明确问题核心：

• 你的domain.key是加密存储的（带密码保护），但执行导出命令时未提供解锁私钥的密码，导致OpenSSL无法读取私钥。
• 前面的一系列错误（如ossl_cipher_unpadblock:bad decrypt）都是私钥解锁失败引发的连锁问题。

解决方案 #

1. 直接在导出命令中指定私钥密码 #

如果不想修改私钥，执行命令时加上-passin pass:[你的私钥密码]参数，同时设置PFX文件的保护密码（可通过-passout指定或按提示输入）：

openssl pkcs12 -export -in domain.crt -inkey domain.key -out domain.pfx -passin pass:your_private_key_password

执行后会提示你设置PFX文件的密码，按要求输入即可。

2. 移除私钥的密码保护（可选） #

如果希望后续操作无需输入私钥密码，可以先将加密的私钥转为无密码版本：

openssl rsa -in domain.key -out domain_unencrypted.key

执行时会提示输入原私钥密码，验证后生成无密码的domain_unencrypted.key。之后用这个无密码私钥执行导出命令：

openssl pkcs12 -export -in domain.crt -inkey domain_unencrypted.key -out domain.pfx

关于CA签名的补充说明 #

你提到的“用自有CA签名域名证书”是导出PFX之前的步骤：

• 确保你的domain.crt已经是通过自签CA签发的有效证书（而非未签名的CSR或自签名证书）。
• 导出PFX只是将已签名的证书和对应私钥打包成PKCS#12格式，和CA签名是独立的两个操作，若还未完成签名，需先完成CA签发流程再执行PFX导出。

内容的提问来源于stack exchange，提问作者Werokowy