如何使用OpenSSL基于tls.crt与tls.key完成公私钥加解密

首先明确两个核心前提：

1. 你的整体操作思路没有错误，tls.key本身就是OpenSSL可直接识别的私钥文件，不需要做额外格式转换，也不存在专门的“TLS专用加解密工具”，OpenSSL本身就可以完成全流程的RSA加解密操作。
2. 你之前加密命令里存在笔误：opensssl多写了一个s，正确命令前缀为openssl，后续操作注意修正。

关于你提到的旁注疑问：TLS场景下的tls.crt是经过CA签名的公钥封装文件，你从crt中提取公钥的操作是完全正确的；tls.key是和证书公钥配对的私钥文件，本身就是标准PEM编码的私钥格式，OpenSSL原生支持读取。

直接解密操作 #

不需要对tls.key做任何转换，直接调用rsautl的解密参数即可完成解密，命令如下：

openssl rsautl -decrypt -inkey tls.key -in <加密文件路径> -out <解密后输出文件路径>

常见报错排查 #

如果执行上述命令失败，按以下场景排查：

• 提示输入私钥密码：输入你生成tls.key时设置的保护密码即可；如果需要去除私钥密码保护，可先执行openssl rsa -in tls.key -out tls_plain.key生成无密码私钥，再调用解密命令。
• 提示公私钥不匹配：执行以下两条命令对比输出的MD5值，值完全一致才是配对的公私钥，不匹配说明你手里的tls.key和加密用的公钥不是一对：

  openssl x509 -noout -modulus -in tls.crt | openssl md5
  openssl rsa -noout -modulus -in tls.key | openssl md5
  

• 提示解密数据长度错误：RSA非对称加密本身有长度限制，2048位密钥搭配PKCS#1填充最多只能加密245字节的数据，大文件不要直接用RSA加密，参考TLS的混合加密逻辑：先生成随机对称密钥用RSA公钥加密，再用对称密钥加密大文件内容，解密时先解出对称密钥再解密文件即可。

内容的提问来源于stack exchange，提问作者Ryan237