OpenSSL 3.0.0生成的.pfx在Windows Server 2012导入提示密码错误怎么办

• 加密算法兼容性问题：OpenSSL 3.0默认导出PFX文件时，使用AES-256-GCM算法加密私钥、SHA256做完整性哈希，而Windows Server 2012原生仅支持PFX使用3DES加密私钥、SHA1做哈希，系统无法识别新加密算法就会误报密码错误，这是最常见的触发原因。Windows 10及以上系统已经新增了对新加密算法的支持，所以可以正常导入。
• 密码编码不匹配：如果PFX设置的密码包含非ASCII字符（比如中文、全角符号），OpenSSL 3.0默认会用UTF-8编码处理密码，但Windows Server 2012的证书导入工具默认使用ANSI编码解析密码，编码差异会导致相同的输入被判定为错误密码。
• 文件传输损坏：如果PFX文件在传输、复制过程中使用了文本模式（比如FTP的ASCII传输模式），会导致二进制格式的PFX文件被篡改，Windows 10的证书解析模块容错性更高可能可以正常读取损坏较小的文件，而Windows Server 2012的校验逻辑更严格，就会解析失败触发密码错误提示。

• 重新使用OpenSSL 3.0导出兼容旧系统的PFX文件，执行以下命令即可：
  openssl pkcs12 -export -legacy -in 你的证书文件.crt -inkey 你的私钥文件.key -out 兼容版输出.pfx
  其中-legacy参数会强制OpenSSL使用Windows Server 2012支持的3DES+SHA1组合加密PFX。
• 导出PFX时设置仅包含半角英文、数字的密码，避免编码不兼容问题。
• 传输PFX文件时统一使用二进制模式，避免文件被意外篡改。

内容的提问来源于stack exchange，提问作者FluffyBike