如何使用Chilkat将X509 ECDSA格式PEM证书与密钥转换为PKCS12

可以使用Chilkat实现和OpenSSL命令一致的ECDSA格式PEM证书、私钥转PKCS12功能，你之前转换后PDF签名失败，主要是私钥加载、证书链完整性、导出参数三个问题导致的。

• 私钥加载方法适配问题：你使用的LoadPkcs8EncryptedFile对非PKCS8格式的无加密ECDSA私钥识别率不稳定，建议使用通用的PEM加载方法
• 证书链缺失：你的证书由AID:Tech根CA签发，导出PFX时没有包含根CA证书，PDF签名工具在校验证书信任链时会失败
• 导出参数不兼容：Chilkat默认的PKCS12加密算法部分版本对ECDSA证书适配不佳，和PDF签名工具的兼容性差

先确认你已经把根CA证书（就是签发你用户证书的CN=ca的那个PEM文件）放到static目录下，命名为rootCa.pem，然后使用下面的代码：

const chilkat = require('@chilkat/ck-node12-macosx');
const fs = require('fs');

function convertEcdsaToP12() {
    // 加载用户证书
    const userCert = new chilkat.Cert();
    let success = userCert.LoadFromFile("static/johnDoeCert.pem");
    if (!success) {
        console.log("加载用户证书失败：" + userCert.LastErrorText);
        return;
    }

    // 加载根CA证书
    const rootCa = new chilkat.Cert();
    success = rootCa.LoadFromFile("static/rootCa.pem");
    if (!success) {
        console.log("加载根CA证书失败：" + rootCa.LastErrorText);
        return;
    }

    // 构建证书链：用户证书在前，根CA在后
    const certChain = new chilkat.CertChain();
    success = certChain.AddCert(userCert);
    success = certChain.AddCert(rootCa);

    // 加载ECDSA私钥，优先用通用PEM加载方法，失败再尝试PKCS8格式
    const privKey = new chilkat.PrivateKey();
    success = privKey.LoadPemFile("static/privKey.pem", "");
    if (!success) {
        success = privKey.LoadPkcs8File("static/privKey.pem");
        if (!success) {
            console.log("加载私钥失败：" + privKey.LastErrorText);
            return;
        }
    }

    // 关联私钥到用户证书
    success = userCert.SetPrivateKey(privKey);
    if (!success) {
        console.log("关联私钥失败：" + userCert.LastErrorText);
        return;
    }

    // 构建PFX文件
    const pfx = new chilkat.Pfx();
    // 老版本Chilkat可开启下一行兼容模式，提升PDF签名适配性
    // pfx.UseLegacyCrypto = true;
    success = pfx.AddPrivateKey(privKey, certChain);
    if (!success) {
        console.log("添加私钥和证书链到PFX失败：" + pfx.LastErrorText);
        return;
    }

    // 导出无密码的PFX，如需加密把第一个参数替换为设置的密码即可
    success = pfx.ToFile("", "static/johnDoeValid.p12");
    if (!success) {
        console.log("导出PFX文件失败：" + pfx.LastErrorText);
        return;
    }

    console.log("转换成功，生成的PFX可正常用于PDF签名");
}

convertEcdsaToP12();

你可以用OpenSSL命令验证生成的PFX和OpenSSL导出的内容是否一致：
openssl pkcs12 -in static/johnDoeValid.p12 -nodes -info
确认输出的私钥、用户证书、根CA证书和你原始文件一致即可。

如果你没有单独的根CA证书文件，可以从OpenSSL生成的可用PKCS12文件中导出：
openssl pkcs12 -in ecdsacred.p12 -cacerts -nokeys -out rootCa.pem

内容的提问来源于stack exchange，提问作者newb001