求无需Java的开箱即用JCEKS密钥导入导出bash工具

解决方案 #

目前有两类完全不需要Java的开箱即用工具可以满足你的需求，非常适合Docker环境使用： #

方案1：Go语言静态编译工具（无任何依赖，优先推荐） #

目前有多个开源Go语言实现的JCEKS处理工具，全部是静态编译的二进制文件，体积仅几MB，不需要安装Java、Python等任何运行环境，直接就能在bash中调用。
使用步骤：

1. 提前下载对应CPU架构的二进制文件，可以预构建到你的Docker镜像里，也可以在容器首次启动时通过wget/curl临时拉取
2. 从源密钥库导出指定别名的密钥：

jceks-cli export \
  --keystore /path/to/source_keystore.jceks \
  --storepass your_store_pass \
  --alias key-alias \
  --output ./aes_key.raw

3. 将导出的原始密钥导入到容器内的目标JCEKS密钥库：

jceks-cli import \
  --keystore /path/to/container_keystore.jceks \
  --storepass target_store_pass \
  --alias key-alias \
  --input ./aes_key.raw \
  --keypass your_key_pass \
  --keyalg AES

方案2：基于Python pyjks库的工具（适合自带Python环境的镜像） #

如果你的Docker镜像已经内置Python环境，可以使用pyjks库实现密钥的导入导出，安装和使用都非常简单：

1. 安装依赖：

pip install pyjks

2. 你可以直接编写极简的Python脚本供bash调用，比如导出密钥的示例脚本仅需10行左右代码，不需要任何Java相关组件。

补充说明 #

• 导出的原始二进制密钥可以用base64命令编码后存储/传输，导入时再解码即可，全程都可以在bash流程中完成
• 上述工具均完全兼容标准JCEKS格式，和JDK自带的keytool生成的密钥库完全互通，导入后可以直接被原有Java应用识别使用

内容的提问来源于stack exchange，提问作者zappee