启动本地Spring应用时遇'toDerInputStream rejects tag type 60'错误如何解决？

我之前碰到过一模一样的PKCS12密钥库相关问题，结合你给出的报错栈，这个toDerInputStream rejects tag type 60错误本质是Java无法正确解析密钥库的DER格式数据——虽然你说开发环境和测试环境的密钥库、代码、脚本完全一致，但还是有几个容易被忽略的点可以逐一排查：

1. 先验证密钥库文件的完整性 #

虽然你说密钥库一致，但开发环境部署时很可能出现文件传输损坏的情况（比如FTP用了ASCII模式而非二进制模式，或者复制过程中中断）。

在开发环境和测试环境分别执行以下命令，对比输出是否完全一致：

keytool -list -v -keystore /path/to/your/keystore.p12 -storetype PKCS12

如果开发环境执行该命令报错，那基本可以确定是密钥库文件损坏，重新传输一份测试环境的密钥库即可。

2. 检查密钥库的路径与权限 #

• 路径问题：Linux环境下路径大小写敏感，确认开发环境配置中的密钥库路径和测试环境完全一致（包括文件名大小写）；如果是Windows环境，检查路径中有没有特殊字符或者空格未转义。
• 权限问题：运行Jar包的系统用户有没有读取密钥库文件的权限？Linux下可以执行chmod 644 /path/to/your/keystore.p12赋予读权限，Windows下确认文件没有被其他程序锁定。

3. 明确指定密钥库类型 #

Java 8对PKCS12的默认支持有时候会有兼容性问题，即使你的密钥库是.p12后缀，也建议在开发环境的配置文件中明确指定密钥库类型：

# application-dev.yml
server:
  ssl:
    key-store-type: PKCS12
    key-store: /path/to/your/keystore.p12
    key-store-password: your-password

这能避免Spring Boot自动识别密钥库类型时出错。

4. 核对JDK版本是否一致 #

虽然都是Java 8，但不同厂商（Oracle JDK vs OpenJDK）、不同小版本（比如8u181 vs 8u291）对PKCS12的解析逻辑可能有差异。

在开发和测试环境分别执行java -version，确认JDK的版本、厂商完全一致。如果不一致，将开发环境的JDK替换为和测试环境相同的版本。

5. 排查配置加载优先级问题 #

Spring Boot有复杂的配置加载优先级，可能开发环境的某些配置（比如环境变量、系统属性、bootstrap配置文件）覆盖了你预期的密钥库配置。

启动Jar包时加上--debug参数，查看Spring Boot实际加载的SSL配置参数：

java -jar your-app.jar --spring.profiles.active=dev --debug

在日志中搜索server.ssl相关的配置，确认key-store、key-store-password等参数是否和测试环境一致。

内容的提问来源于stack exchange，提问作者Chris