如何将.pem格式公钥转换为JWK？OpenSSL是否支持该操作？

OpenSSL能否直接完成转换？ #

不能。原生OpenSSL全版本（包括目前主流的1.1.1、3.x版本）都没有内置JWK格式的转换能力，仅支持输出PEM、DER等传统编码格式的密钥。你可以通过OpenSSL命令提取公钥的核心参数（比如RSA算法的模数n、公钥指数e，ECC算法的曲线标识crv、坐标x/y），但没法直接输出符合RFC 7517规范的完整JWK结构，社区提了多年的JWK支持需求至今没有合入OpenSSL主线。

在线转换工具是否安全？ #

仅测试场景临时使用纯前端离线运行的工具勉强可行，生产环境绝对禁止使用任何在线转换工具：

• 只要工具要求你把密钥内容上传到远端服务器处理，无论平台怎么宣传“不留存日志”“即时删除”，都存在密钥被缓存、泄露、滥用的风险，完全不符合生产环境的数据安全、合规审计要求
• 即便是宣称“纯前端本地转换”的在线页面，也存在被恶意篡改、植入窃密代码的可能，风险不可控，生产场景不要抱任何侥幸心理。

分场景安全转换方案 #

测试场景快速实现 #

全程在本地离线操作即可，不需要联网：

• 如果你习惯用Node.js，本地安装经过社区长期验证的pem-jwk依赖，几行代码就能完成转换：

const { pem2jwk } = require('pem-jwk');
const fs = require('fs');
const pubKey = fs.readFileSync('public.pem', 'utf8');
// 按需设置use、kid等JWK扩展字段
const jwk = {
  ...pem2jwk(pubKey),
  use: 'sig',
  kid: 'your-key-id'
};
console.log(JSON.stringify(jwk, null, 2));

• 如果你用Python，安装jwcrypto库也可以快速实现本地离线转换，全程密钥不会流出你的设备。

生产环境合规方案 #

• 严格禁止使用任何第三方在线转换服务、未经过内部安全审计的开源工具处理生产密钥
• 优先选择各语言生态中经过行业广泛验证、持续维护的JOSE/JWT成熟SDK，把转换逻辑嵌入业务流程，所有计算在服务本地内存中完成，密钥不传出信任边界：
  • Java生态推荐使用Nimbus JOSE+JWT
  • Go生态推荐使用lestrrat-go/jwx
  • 所有第三方依赖引入前必须完成漏洞扫描、开源协议合规校验
• 等保三级以上的高安全等级场景，可以自行实现转换逻辑：先通过OpenSSL或者本地密码库解析PEM公钥拿到各算法参数字段，做Base64URL编码后按RFC 7517规范组装即可，逻辑简单可控，完全不存在第三方依赖风险。

内容的提问来源于stack exchange，提问作者Liam Kenny