.NET Framework 4.5.2如何用PEM私钥文件生成DSA签名？

核心实现思路 #

.NET Framework 4.5.2的DSACryptoServiceProvider不直接支持PEM格式密钥，需按以下步骤实现签名：

1. 从PEM文件中提取Base64编码的DER内容，解码为字节数组
2. 通过ASN.1解析器提取DSA密钥核心参数（P、Q、G、X私钥分量等）
3. 将参数导入DSACryptoServiceProvider，调用签名方法生成结果

具体代码实现 #

1. 解析PEM文件获取DER字节数组 #

清理PEM格式的冗余内容，解码Base64得到DER格式的密钥数据：

private static byte[] ExtractDerFromPem(string pemPrivateKey)
{
    string base64Content = pemPrivateKey
        .Replace("-----BEGIN DSA PRIVATE KEY-----", string.Empty)
        .Replace("-----END DSA PRIVATE KEY-----", string.Empty)
        .Replace(Environment.NewLine, string.Empty)
        .Replace("\r", string.Empty)
        .Replace("\n", string.Empty);
    
    return Convert.FromBase64String(base64Content);
}

2. ASN.1解析器提取DSA参数 #

通过简化版ASN.1解析器从DER数据中提取DSA所需参数（OID对应RFC 3279定义）：

public class AsnDsaKeyParser
{
    private readonly AsnEncodedData _asnData;

    public AsnDsaKeyParser(byte[] derBytes)
    {
        _asnData = new AsnEncodedData(derBytes);
    }

    public byte[] GetParameterBytes(string oid)
    {
        var enumerator = _asnData.EnumerateValues();
        while (enumerator.MoveNext())
        {
            if (string.Equals(enumerator.Current.Oid.Value, oid, StringComparison.Ordinal))
            {
                return enumerator.Current.RawData;
            }

            // 递归查找嵌套ASN.1节点
            var nestedParser = new AsnDsaKeyParser(enumerator.Current.RawData);
            var nestedBytes = nestedParser.GetParameterBytes(oid);
            if (nestedBytes != null)
            {
                return nestedBytes;
            }
        }
        throw new InvalidOperationException($"未找到OID为{oid}的DSA参数");
    }
}

3. 初始化DSA并生成签名 #

导入参数后调用SignData生成签名（哈希算法需与客户API要求一致，2048位DSA通常搭配SHA256）：

public static string GenerateDsaSignature(string pemPrivateKey, string dataToSign)
{
    // 获取DER格式密钥数据
    byte[] derBytes = ExtractDerFromPem(pemPrivateKey);
    
    // 解析DSA参数
    var parser = new AsnDsaKeyParser(derBytes);
    var dsaParams = new DSAParameters
    {
        P = parser.GetParameterBytes("1.2.840.10040.4.1"), // 大素数P
        Q = parser.GetParameterBytes("1.2.840.10040.4.2"), // 子素数Q
        G = parser.GetParameterBytes("1.2.840.10040.4.3"), // 生成元G
        X = parser.GetParameterBytes("1.2.840.10040.4.4"), // 私钥分量X
        Y = parser.GetParameterBytes("1.2.840.10040.4.5")  // 公钥分量Y
    };
    
    // 生成签名
    using (var dsa = new DSACryptoServiceProvider())
    {
        dsa.ImportParameters(dsaParams);
        byte[] dataBytes = Encoding.UTF8.GetBytes(dataToSign);
        byte[] signatureBytes = dsa.SignData(dataBytes, new SHA256CryptoServiceProvider());
        return Convert.ToBase64String(signatureBytes);
    }
}

注意事项 #

• 哈希算法需与客户API严格匹配：若API要求SHA1，替换为SHA1CryptoServiceProvider即可。
• 若解析参数报错，检查PEM文件格式是否完整（头部/尾部无多余字符，Base64编码无截断）。
• 若上述方案无法运行，再考虑用新版本.NET搭建签名服务，通过HTTP接口供4.5.2项目调用。

内容的提问来源于stack exchange，提问作者freefaller