OpenSSL可读取.p12密钥，但keytool提示密码错误，如何转Java密钥库？

可能的原因与对应解决方案 #

1. PKCS12文件的存储密码与密钥密码不一致 #

大部分情况下，这个问题是因为PKCS12允许存储密码（用于打开文件）和密钥密码（用于解密私钥）分开设置，而OpenSSL默认仅验证存储密码，但Java的keytool要求两者必须相同。

验证方法

执行以下命令查看PKCS12的详细信息，会先后要求输入存储密码和密钥密码：

openssl pkcs12 -in key.p12 -info

如果两次输入的密码不同，就会触发keytool的密码错误提示。

解决步骤

用OpenSSL重新打包PKCS12，将存储密码和密钥密码统一：

openssl pkcs12 -in key.p12 -export -out unified_key.p12 -password pass:your-unified-password

执行时会提示输入原存储密码和原密钥密码，完成后生成的unified_key.p12就可以正常用keytool导入：

keytool -importkeystore -srckeystore unified_key.p12 -destkeystore mycert.keystore -srcstoretype pkcs12

2. 密码包含特殊字符被Shell转义 #

如果密码包含!、$、*等Shell特殊字符，直接在命令行输入会被Shell解析转义，导致keytool接收到的密码不完整。

解决步骤

用双引号包裹密码参数，确保完整传递：

keytool -importkeystore -srckeystore key.p12 -destkeystore mycert.keystore -srcstoretype pkcs12 -srcstorepass "your-password-with-special-chars" -deststorepass "your-jks-password"

3. Java版本兼容性或别名问题 #

部分旧版本Java的keytool对某些PKCS12格式支持不佳，或者需要明确指定密钥别名。

验证方法

先查看PKCS12文件中的密钥别名：

keytool -list -v -keystore key.p12 -storetype pkcs12 -storepass your-password

记录输出中的Alias name字段。

解决步骤

使用较新版本的Java（Java 8及以上），并在导入时指定别名：

keytool -importkeystore -srckeystore key.p12 -destkeystore mycert.keystore -srcstoretype pkcs12 -srcalias your-alias -srcstorepass your-password -deststorepass your-jks-password

4. 绕过keytool，用OpenSSL+keytool分步转换 #

如果以上方法都无效，可以手动拆分PKCS12的证书和密钥，再导入到JKS：

1. 导出证书文件：

openssl pkcs12 -in key.p12 -nokeys -out cert.pem -passin pass:your-password

2. 导出私钥并转换为PKCS8格式（keytool仅支持PKCS8格式的私钥）：

openssl pkcs12 -in key.p12 -nocerts -out key.pem -passin pass:your-password -passout pass:key-pwd
openssl pkcs8 -topk8 -in key.p12 -out key-pkcs8.pem -passin pass:key-pwd -passout pass:key-pwd

3. 先将证书导入JKS：

keytool -importcert -file cert.pem -keystore mycert.keystore -alias my-cert -storepass jks-pwd

4. 最后将转换后的私钥重新打包为统一密码的PKCS12，再用keytool导入（步骤同方案1）。

内容的提问来源于stack exchange，提问作者mik