Spring Boot部署REST API时SSL证书别名无对应密钥项报错

这个报错和业务代码完全无关，问题100%出在证书转换环节，核心是两个常见错误：

• 你拿到的.cer文件本身只有公钥证书，不带服务端私钥。如果转p12的时候没把对应域名的私钥一起打包进去，生成的文件里根本没有能用来做SSL握手的密钥条目，Tomcat启动自然会报错。本地自签名证书能正常用，本质是你当初生成本地p12的时候本来就把私钥存在文件里了。
• 就算你打包了私钥，转换时给密钥设置的别名不是springboot，和配置里server.ssl.key-alias=springboot的配置对不上，一样会抛这个错。

先在本地用JDK自带的keytool工具查看你生成的p12文件实际内容，在证书文件所在目录执行命令：

keytool -list -v -keystore springboot-mooddraw-com.p12 -storetype PKCS12 -storepass 你配置里填写的密钥库密码

重点看输出的两个关键字段：

• 看条目类型：如果显示trustedCertEntry，实锤你只把公钥导进去了，没带私钥，这个p12完全无法用作服务端SSL证书
• 看Alias name字段值：如果条目类型是PrivateKeyEntry但别名不是springboot，要么把配置里的key-alias改成实际的别名，要么重新生成p12的时候把别名设对。

1. 先找到申请证书时生成的私钥：你当初向主机商提交CSR申请证书的时候，会在本地生成一对密钥，后缀为.key的就是私钥，这个文件主机商不会持有，如果你找不到了，直接重新生成CSR申请新证书即可，不要尝试无私钥硬转的野路子方法。
2. 把主机商发给你的域名公钥证书（.cer后缀）、中间证书（如果有，同样为.cer后缀）、你自己持有的私钥(.key后缀)放在同一个目录，执行openssl命令生成p12文件：

openssl pkcs12 -export -in 你的域名公钥证书.cer -inkey 你的私钥文件.key -certfile 主机商提供的中间证书.cer -out springboot-mooddraw-com.p12 -name springboot

执行过程中会提示设置导出密码，这个密码要和你Spring Boot配置里的key-store-password、key-password值完全一致。
注意命令里的-name springboot就是给密钥条目设置别名，刚好对应你现有配置里的别名，不需要额外修改配置文件。
3. 生成完成后再用前面的keytool命令校验一遍，确认条目类型是PrivateKeyEntry、别名是springboot，再把p12放到项目对应资源目录替换旧文件，重启服务即可正常启动。

内容的提问来源于stack exchange，提问作者Stéphanie Vincart