Java使用.crt证书和带密码的.pem私钥发起HTTP请求的实现方案

首选方案：预转换为PKCS12格式（最优，无第三方依赖） #

Java原生KeyStore默认支持PKCS12格式的密钥库，只需要提前用openssl工具把分开的.crt证书和.pem私钥合并成PKCS12格式文件即可，操作最稳定兼容性最好。

1. 执行转换命令 #

在终端执行以下openssl命令，按照提示输入你的PEM私钥密码myphrase，并设置PKCS12文件的保护密码（后续代码会用到）：

openssl pkcs12 -export -in my_cert.crt -inkey my-private-key.pem -out client_keystore.p12 -name client_cert

2. Java代码实现 #

你现有代码片段只需要补充指定KeyStore类型为PKCS12即可正常使用，完整示例如下：

import javax.net.ssl.*;
import java.io.FileInputStream;
import java.security.KeyStore;

public class SslClient {
    public static void main(String[] args) throws Exception {
        // 配置参数
        String keyStorePath = "你的client_keystore.p12路径";
        String keystorePassword = "你设置的PKCS12文件密码";
        
        // 加载PKCS12密钥库
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        keyStore.load(new FileInputStream(keyStorePath), keystorePassword.toCharArray());
        
        // 初始化KeyManagerFactory
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, keystorePassword.toCharArray());
        
        // 构建SSLContext
        SSLContext ctx = SSLContext.getInstance("TLS");
        // 第二个参数如果需要自定义信任服务器证书可以传入TrustManager数组，传null则使用系统默认信任库
        ctx.init(kmf.getKeyManagers(), null, null);
        SSLSocketFactory sslSocketFactory = ctx.getSocketFactory();
        
        // 后续用sslSocketFactory构建HTTP请求即可，以Apache HttpClient为例的话，直接将sslSocketFactory配置到客户端即可
    }
}

备选方案：代码直接解析PEM文件（无需手动转换） #

如果不希望提前做格式转换，可以引入BouncyCastle库在代码中直接解析PEM格式的私钥和证书：

1. 引入依赖（Maven示例） #

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcpkix-jdk18on</artifactId>
    <version>1.77</version>
</dependency>

2. 解析代码示例 #

import org.bouncycastle.openssl.*;
import org.bouncycastle.openssl.jcajce.JcaPEMKeyConverter;
import org.bouncycastle.openssl.jcajce.JcePEMDecryptorProviderBuilder;
import java.io.FileReader;
import java.security.KeyPair;
import java.security.cert.X509Certificate;
import javax.net.ssl.*;
import java.security.KeyStore;

public class PemDirectLoader {
    public static void main(String[] args) throws Exception {
        String certPath = "my_cert.crt路径";
        String privateKeyPath = "my-private-key.pem路径";
        String pemPassword = "myphrase"; // PEM私钥的密码
        
        // 读取证书
        PEMParser certParser = new PEMParser(new FileReader(certPath));
        X509Certificate cert = (X509Certificate) certParser.readObject();
        certParser.close();
        
        // 读取加密的私钥
        PEMParser keyParser = new PEMParser(new FileReader(privateKeyPath));
        Object keyObj = keyParser.readObject();
        keyParser.close();
        
        PEMDecryptorProvider decProv = new JcePEMDecryptorProviderBuilder().build(pemPassword.toCharArray());
        JcaPEMKeyConverter converter = new JcaPEMKeyConverter();
        KeyPair keyPair;
        if (keyObj instanceof PEMEncryptedKeyPair) {
            keyPair = converter.getKeyPair(((PEMEncryptedKeyPair) keyObj).decryptKeyPair(decProv));
        } else {
            keyPair = converter.getKeyPair((PEMKeyPair) keyObj);
        }
        
        // 构建KeyStore
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        keyStore.load(null, null);
        keyStore.setKeyEntry("client_cert", keyPair.getPrivate(), pemPassword.toCharArray(), new X509Certificate[]{cert});
        
        // 后续生成SSLContext的逻辑和方案1完全一致
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, pemPassword.toCharArray());
        SSLContext ctx = SSLContext.getInstance("TLS");
        ctx.init(kmf.getKeyManagers(), null, null);
        SSLSocketFactory sslSocketFactory = ctx.getSocketFactory();
    }
}

注意事项 #

• 如果请求的目标服务器证书是自签证书，你还需要额外构建TrustManager加载服务器根证书，否则会报证书不信任错误
• 私钥密码不要硬编码在代码中，建议通过配置文件、环境变量等方式注入
• 方案1的性能和兼容性更好，优先推荐使用

内容的提问来源于stack exchange，提问作者Ankit