如何将私有JWK转换为private.pem文件用于RS256签名JWT

两种本地方案都可以实现，全程无外网请求，规避在线工具的私钥泄露风险。

Bash脚本方案（依赖openssl，跨平台可用） #

适用于批量转换、CI/CD流程中处理密钥的场景，Linux、macOS系统自带openssl，Windows可通过WSL、Git Bash直接运行对应命令：

• 如果你手里的私钥是DER二进制格式（多数原生密钥生成工具默认输出的二进制RSA私钥），执行以下命令直接转成标准PEM格式：

openssl rsa -inform DER -outform PEM -in 你的原始私钥文件路径 -out private_key.pem

• 如果你的私钥存放在PFX/P12证书容器中，执行以下命令提取无密码保护的PEM私钥：

openssl pkcs12 -in 你的证书文件.pfx -nocerts -nodes -out private_key.pem

• 转换完成后如果文件开头是-----BEGIN RSA PRIVATE KEY-----，说明是旧版PKCS#1格式，部分JWT库兼容性不好，可以执行以下命令转成通用的PKCS#8格式（开头为-----BEGIN PRIVATE KEY-----）：

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in private_key.pem -out private_key_pkcs8.pem

.NET原生集成方案 #

不需要依赖外部命令行工具，直接在项目代码里完成转换或者直接完成JWT签名，生产环境优先推荐这个方案。

适配版本：.NET Core 3.0、.NET 5及以上 #

框架原生支持PEM格式导出，不需要安装任何第三方NuGet包：

using System.Security.Cryptography;

// 初始化RSA实例，替换成你自己加载现有JWS私钥的逻辑
// 比如从XML格式私钥导入可直接调用 rsa.FromXmlString(你的XML私钥字符串)
using RSA rsa = RSA.Create();

// 直接导出兼容所有JWT库的PKCS#8格式PEM私钥
string pemContent = rsa.ExportPkcs8PrivateKeyPem();
// 写入文件即可使用
File.WriteAllText("private_key.pem", pemContent);

如果你的最终目的是完成RS256算法的JWT签发，甚至不需要手动生成PEM文件，直接用RSA实例创建签名凭证即可，流程更安全（避免私钥落盘泄露风险）：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using Microsoft.IdentityModel.Tokens;

using RSA rsa = RSA.Create();
// 替换为你自己的私钥加载逻辑
var signCreds = new SigningCredentials(
    key: new RsaSecurityKey(rsa),
    algorithm: SecurityAlgorithms.RsaSha256
);

var jwtHandler = new JwtSecurityTokenHandler();
var jwtToken = jwtHandler.CreateJwtSecurityToken(
    issuer: "你的服务标识",
    audience: "你的受众标识",
    subject: new ClaimsIdentity(你的业务Claim集合),
    expires: DateTime.UtcNow.AddHours(2),
    signingCredentials: signCreds
);
// 最终生成的签名字符串
string signedJwt = jwtHandler.WriteToken(jwtToken);

注意：生产环境私钥不要设置空密码、不要明文存放在代码仓库中，转换和签名流程尽量在内存中完成，减少私钥泄露风险。

内容的提问来源于stack exchange，提问作者Liam Kenny