导入JKS至另一JKS遇UnrecoverableKeyException，如何正确合并？

你遇到的java.security.UnrecoverableKeyException: Cannot recover key异常，本质是因为keytool默认会假设密钥库的存储密码和密钥条目的密钥密码是相同的，当源、目标密钥库的这两类密码不统一时，就会出现密钥无法恢复的问题。下面给你几个实用的解决思路：

方法一：通过中间PKCS12文件中转（推荐，更灵活） #

PKCS12格式的密钥库对不同密码的兼容性更好，我们可以先把源密钥库的条目导出到临时PKCS12文件，再导入到目标JKS库：

1. 导出源密钥库的指定条目到PKCS12文件
   执行以下命令，按提示依次输入源密钥库密码、密钥条目密码（如果和库密码不同），再设置临时PKCS12文件的密码：

   keytool -importkeystore -srckeystore keystore.jks -srcalias my-key -destkeystore temp.p12 -deststoretype PKCS12
   

2. 将PKCS12文件导入到目标JKS密钥库
   接着执行导入命令，输入临时PKCS12的密码、目标密钥库密码，还可以按需设置新的密钥密码（建议和目标库密码统一，避免后续麻烦）：

   keytool -importkeystore -srckeystore temp.p12 -srcstoretype PKCS12 -destkeystore keystore2.jks -destalias my-key
   

方法二：直接在导入命令中指定所有密码（适合已知所有密码的场景） #

如果你明确知道源密钥库的存储密码、密钥条目密码，以及目标密钥库的存储密码，可以直接用参数一次性完成导入，无需中间文件：

keytool -importkeystore -srckeystore keystore.jks -destkeystore keystore2.jks \
  -srcstorepass 你的源密钥库密码 \
  -deststorepass 你的目标密钥库密码 \
  -srckeypass 你的源密钥条目密码 \
  -destkeypass 你的目标密钥条目密码（可设为和目标库密码一致）

注意事项 #

• 操作前务必备份源密钥库和目标密钥库，避免误操作导致密钥丢失
• 如果目标密钥库中已经存在同名别名（比如my-key），需要用-destalias参数指定新的别名，或者先删除目标库中的对应条目
• 导入完成后，可以用以下命令验证条目是否正常：

  keytool -list -v -keystore keystore2.jks
  

内容的提问来源于stack exchange，提问作者user2620644