.NET中仅用PEM文件生成ES384 JWT Token的方法求助

我需要在.NET环境中仅通过一个PEM格式的EC私钥文件生成ES384算法的JWT Token，现有代码框架如下：

var payload = new Dictionary<string, object>()
{
    // 自定义Payload内容
};

var privateKey = ???;
// 仅持有如下格式的PEM私钥文件
//-----BEGIN PRIVATE KEY-----
//xxxxxxxxxxxxxxx
//-----END PRIVATE KEY-----

// 需要获取可用的密钥来生成JWT Token
string token = Jose.JWT.Encode(payload, privateKey, JwsAlgorithm.ES384, new Dictionary<string, object>()
{
    { "alg", "ES384" },
    { "type", "JWT" },
});

我尝试过用PemReader读取PEM文件并转换为RSAParameters，再以此创建ECDSA密钥，但方向错误——EC私钥不能用RSA参数处理，代码如下（存在逻辑错误）：

RSAParameters rsaParameters;
using (var stream = File.OpenRead("pem.pem"))
{
    using (var reader = new PemReader(stream))
    {
        rsaParameters = reader.ReadRsaKey();
    }
}

var key = ECDsa.Create(ECCurve.NamedCurves.nistP384);

key.ImportParameters(new ECParameters()
{
    Q = new ECPoint() {
        X = rsaParameters.Q,// 类型不匹配，逻辑错误
        Y = rsaParameters.Q // 类型不匹配，逻辑错误
    },
    D = rsaParameters.D
});

急需可行的解决方案。

解决方案 #

方法一：.NET 5+原生实现（无需第三方库） #

如果项目基于.NET 5或更高版本，可直接使用ECDSA的原生方法读取PEM私钥：

using System.Security.Cryptography;

// 读取PEM文件内容
string pemContent = File.ReadAllText("private_key.pem");

// 创建ECDSA实例并导入PEM私钥
using var ecdsa = ECDsa.Create(ECCurve.NamedCurves.nistP384);
ecdsa.ImportFromPem(pemContent);

// 生成JWT Token
string token = Jose.JWT.Encode(payload, ecdsa, JwsAlgorithm.ES384, new Dictionary<string, object>()
{
    { "alg", "ES384" },
    { "typ", "JWT" }
});

方法二：使用BouncyCastle库兼容旧版.NET #

如果项目基于.NET Framework或.NET Core 3.1及以下，可借助BouncyCastle库处理：

1. 安装NuGet包：BouncyCastle.Cryptography
2. 实现代码：

using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Parameters;
using Org.BouncyCastle.OpenSsl;
using Org.BouncyCastle.Security;
using System.Security.Cryptography;

// 读取PEM私钥文件
AsymmetricCipherKeyPair keyPair;
using (var reader = new StreamReader("private_key.pem"))
{
    var pemReader = new PemReader(reader);
    keyPair = (AsymmetricCipherKeyPair)pemReader.ReadObject();
}

// 将BouncyCastle的EC私钥转换为.NET标准参数
var ecPrivateKeyParams = (ECPrivateKeyParameters)keyPair.Private;
var ecParams = DotNetUtilities.ToECParameters(ecPrivateKeyParams);

// 创建ECDSA实例并导入参数
using var ecdsa = ECDsa.Create(ecParams);

// 生成JWT Token
string token = Jose.JWT.Encode(payload, ecdsa, JwsAlgorithm.ES384, new Dictionary<string, object>()
{
    { "alg", "ES384" },
    { "typ", "JWT" }
});

关键说明 #

• 核心错误是混淆了RSA与EC密钥类型：目标PEM是EC私钥，不能用ReadRsaKey读取，需按EC密钥格式解析。
• .NET 5+提供了原生PEM导入能力，无需依赖第三方库；旧版本.NET优先选择BouncyCastle方案。

内容的提问来源于stack exchange，提问作者P. Chuckie