如何将现有SSL .cer证书配置到Spring Boot应用并解决启动报错

错误原因 #

你执行的keytool -import命令仅导入了SSL服务商提供的公钥证书，生成的p12密钥库中只有信任证书条目（trustedCertEntry），缺少当初生成CSR时对应的私钥。Spring Boot做SSL终端需要包含「私钥+证书链」的密钥条目（PrivateKeyEntry），因此无法识别对应别名的key entry。

解决步骤 #

1. 找回生成CSR时对应的私钥文件（通常为.key后缀，若当初用keytool生成CSR，私钥存在当时生成的密钥库文件中），缺少私钥无法完成后续配置。
2. 用openssl合并私钥、公钥证书生成符合要求的p12密钥库，执行命令：

openssl pkcs12 -export -in <mydomain>.crt -inkey <mydomain>.key -out <mydomain>.p12 -name springboot -password pass:<你的密钥库密码>

如果SSL服务商同时提供了CA中间证书/根证书 bundle，需要加-chain参数一起导入，避免客户端识别为不可信证书：

openssl pkcs12 -export -in <mydomain>.crt -inkey <mydomain>.key -chain -CAfile <ca_bundle>.crt -out <mydomain>.p12 -name springboot -password pass:<你的密钥库密码>

3. 验证生成的p12密钥库条目类型是否正确，执行命令：

keytool -list -keystore <mydomain>.p12 -storepass <你的密钥库密码>

确认输出中springboot别名对应的条目类型为PrivateKeyEntry即可。
4. 用新生成的p12文件替换项目中原有的文件，保持原Spring Boot配置不变，重启应用即可正常启动。

特殊情况处理 #

如果当初生成CSR时使用的是keytool工具，私钥保存在当时生成的JKS密钥库中，不需要额外转p12，直接将服务商返回的cer证书导入原有JKS密钥库即可：

keytool -import -alias springboot -file <mydomain>.crt -keystore <原有密钥库文件名>.jks -storepass <原密钥库密码>

修改Spring Boot配置中的server.ssl.key-store指向该JKS文件，key-store-type改为JKS即可。

内容的提问来源于stack exchange，提问作者Tushar Girase