如何在Java中以编程方式执行指定keytool密钥对生成命令？

该需求完全可实现。不推荐通过Runtime调用外部keytool进程的方案——这类方案依赖目标环境安装JDK、存在命令参数转义注入风险、不同JDK版本的keytool参数行为存在差异，生产环境稳定性差。最优实现方式是直接使用JDK内置的java.security标准API纯编码实现，无任何第三方依赖，兼容JDK8及以上所有主流版本。

你给出的keytool命令所有参数都可以通过标准API一一对应实现：

• 密钥算法：EC，对应代码中初始化EC算法的密钥对生成器
• 证书有效期：1825天（即5年）
• 密钥库存储类型：pkcs12，不受文件后缀.jks影响
• 密钥库密码、私钥密码：均使用传入的$SERVER_PW
• 密钥别名：固定为server
• 证书扩展项：
  • 密钥用法(KU)：digitalSignature、dataEncipherment、keyEncipherment、keyAgreement
  • 增强密钥用法(EKU)：serverAuth（服务端身份认证）
  • 主题备用名称(SAN)：使用传入的$SERVER_SAN
• 证书主体DN：使用传入的$SERVER_DN

import java.io.File;
import java.io.FileOutputStream;
import java.math.BigInteger;
import java.security.*;
import java.security.cert.Certificate;
import java.util.Date;
import sun.security.x509.*; // JDK内置X509证书工具类，OracleJDK/OpenJDK/主流开源JDK发行版均自带，无额外依赖

public class KeystoreGenerator {
    public static void generateServerKeystore(
            String serverDn,
            String serverDir,
            String serverPw,
            String serverSan
    ) throws Exception {
        // 1. 生成EC密钥对
        KeyPairGenerator keyPairGen = KeyPairGenerator.getInstance("EC");
        keyPairGen.initialize(256); // 默认使用secp256r1曲线，和keytool默认EC参数一致
        KeyPair keyPair = keyPairGen.generateKeyPair();

        // 2. 构造证书有效期
        long now = System.currentTimeMillis();
        Date startDate = new Date(now);
        Date endDate = new Date(now + 1825L * 24 * 60 * 60 * 1000); // 1825天有效期

        // 3. 构造X509证书基础信息
        X500Name owner = new X500Name(serverDn);
        X509CertImpl cert = new X509CertImpl();
        X509CertInfo certInfo = new X509CertInfo();

        certInfo.set(X509CertInfo.VERSION, new CertificateVersion(CertificateVersion.V3));
        certInfo.set(X509CertInfo.SERIAL_NUMBER, new CertificateSerialNumber(new BigInteger(64, new SecureRandom())));
        certInfo.set(X509CertInfo.SUBJECT, owner);
        certInfo.set(X509CertInfo.ISSUER, owner); // 自签名证书，颁发者和主体一致
        certInfo.set(X509CertInfo.KEY, new CertificateX509Key(keyPair.getPublic()));
        certInfo.set(X509CertInfo.VALIDITY, new CertificateValidity(startDate, endDate));
        certInfo.set(X509CertInfo.ALGORITHM_ID, new AlgorithmId(AlgorithmId.sha256WithECDSA_OID)); // EC默认使用SHA256withECDSA签名算法

        // 4. 添加证书扩展项
        // 密钥用法KU
        KeyUsageExtension ku = new KeyUsageExtension();
        ku.set(KeyUsageExtension.DIGITAL_SIGNATURE, true);
        ku.set(KeyUsageExtension.DATA_ENCIPHERMENT, true);
        ku.set(KeyUsageExtension.KEY_ENCIPHERMENT, true);
        ku.set(KeyUsageExtension.KEY_AGREEMENT, true);
        // 增强密钥用法EKU
        ExtendedKeyUsageExtension eku = new ExtendedKeyUsageExtension();
        eku.add(ExtendedKeyUsageExtension.SERVER_AUTH);
        // 主题备用名称SAN
        GeneralNames sanNames = new GeneralNames();
        // 兼容keytool原生SAN格式，支持传入"dns:xxx.com,ip:127.0.0.1"这类格式字符串
        for (String sanItem : serverSan.split(",")) {
            sanItem = sanItem.trim();
            if (sanItem.startsWith("dns:")) {
                sanNames.add(new GeneralName(GeneralName.DNS, sanItem.substring(4)));
            } else if (sanItem.startsWith("ip:")) {
                sanNames.add(new GeneralName(GeneralName.IP, sanItem.substring(3)));
            }
        }
        SubjectAlternativeNameExtension sanExt = new SubjectAlternativeNameExtension(sanNames);

        CertificateExtensions exts = new CertificateExtensions();
        exts.set(KeyUsageExtension.NAME, ku);
        exts.set(ExtendedKeyUsageExtension.NAME, eku);
        exts.set(SubjectAlternativeNameExtension.NAME, sanExt);
        certInfo.set(X509CertInfo.EXTENSIONS, exts);

        // 5. 用私钥签名证书
        cert.set(certInfo);
        cert.sign(keyPair.getPrivate(), "SHA256withECDSA");

        // 6. 写入PKCS12格式密钥库
        KeyStore keystore = KeyStore.getInstance("pkcs12");
        keystore.load(null, serverPw.toCharArray());
        keystore.setKeyEntry("server", keyPair.getPrivate(), serverPw.toCharArray(), new Certificate[]{cert});

        File keystoreFile = new File(serverDir, "keystore.jks");
        try (FileOutputStream fos = new FileOutputStream(keystoreFile)) {
            keystore.store(fos, serverPw.toCharArray());
        }
    }
}

• 代码中使用的sun.security.x509包是JDK内置实现，Amazon Corretto、Alibaba Dragonwell、Temurin等主流开源JDK发行版都默认包含，不需要额外引入BouncyCastle等第三方库。如果需要适配非标准JDK环境，替换为BouncyCastle的证书构造API即可，核心逻辑完全一致。
• 生成的密钥库和keytool命令生成的产物完全兼容，可以直接用keytool、openssl等工具读取验证。

如果只是临时做测试不想写代码，也可以直接调用keytool命令，但生产环境不要用这种方案：必须单独处理进程的输出流、错误流，否则会出现进程阻塞问题，同时要做好参数校验避免命令注入。

内容的提问来源于stack exchange，提问作者softshipper