如何用CFSSL生成的X509证书结合OpenSSL实现文件加密解密？

核心错误原因 #

你遇到的两个关键问题：

1. 尝试1的低级错误：openssl smime -encrypt需要传入接收方的公钥证书（而非私钥），所以用server-key.pem会直接报错无法加载证书。
2. 尝试2/3的核心问题：报错encryption not supported for this key type说明你的server.pem对应的密钥类型不支持SMIME加密。大概率是你用CFSSL生成证书时选择了椭圆曲线（EC）密钥，旧版OpenSSL的SMIME模块对EC密钥的加密支持存在限制，即使证书用途包含s/mime也无法正常使用。

验证密钥类型 #

先确认你的密钥类型，执行以下命令：

# 检查是否为RSA密钥
openssl rsa -in server-key.pem -check
# 检查是否为EC密钥
openssl ec -in server-key.pem -check

如果是EC密钥，执行openssl rsa时会报错；反之则会输出RSA密钥的校验信息。

解决方案 #

方案一：重新生成RSA类型的Server证书（推荐，兼容性最好） #

SMIME加密对RSA密钥的支持最完善，修改CFSSL的配置文件（如csr.json），指定密钥算法为RSA：

{
  "CN": "server",
  "key": {
    "algo": "rsa",
    "size": 2048
  },
  "names": [
    {
      "C": "CN",
      "L": "Beijing",
      "O": "Example Corp"
    }
  ],
  "server": {
    "usages": [ "signing", "key encipherment", "server auth", "data encipherment", "s/mime" ]
  }
}

重新生成证书：

cfssl gencert -ca ca.pem -ca-key ca-key.pem -config config.json server-csr.json | cfssljson -bare server

之后用新生成的server.pem执行SMIME加密：

openssl smime -encrypt -aes-256-cbc -in secret.txt -out secret.txt.enc -outform DER server.pem

解密时用私钥：

openssl smime -decrypt -in secret.txt.enc -inform DER -out secret.txt.dec -inkey server-key.pem

方案二：保留EC密钥，改用pkeyutl工具加密解密 #

如果不想重新生成证书，可以用OpenSSL的pkeyutl工具直接操作密钥，绕过SMIME的限制：

• 加密（用公钥）：

openssl pkeyutl -encrypt -in secret.txt -out secret.txt.enc -inkey server.pem -pubin -pkeyopt rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256

• 解密（用私钥）：

openssl pkeyutl -decrypt -in secret.txt.enc -out secret.txt.dec -inkey server-key.pem -pkeyopt rsa_padding_mode:oaep -pkeyopt rsa_oaep_md:sha256

额外纠正 #

你尝试3中将证书和私钥直接拼接成server.pkcs12是错误的，PKCS12格式需要用openssl pkcs12 -export命令生成，且这也无法解决密钥类型不支持SMIME的问题。

内容的提问来源于stack exchange，提问作者Manel R. Domènech