为给定RSA密钥对创建Java Keystore遇openssl报错求助

报错原因说明 #

你遇到的unable to load certificates错误，大概率是以下几个原因导致：

• 你手头的公钥是裸公钥文件（开头标记为-----BEGIN PUBLIC KEY-----），而非openssl要求的X.509标准证书文件
• 证书/私钥文件格式损坏，首尾标记不完整或存在乱码
• 文件路径填写错误，或路径包含特殊字符未做转义
• 你执行的命令冗余指定了-in和-certfile为同一个证书，部分openssl版本会出现兼容问题

操作步骤 #

第一步：确认/生成标准X.509证书 #

如果你只有裸公钥和私钥，需要先生成自签名证书：

openssl req -new -x509 -key <私钥文件路径.pem> -pubin <公钥文件路径.pem> -out <生成的证书路径.crt.pem> -days 3650

如果已经持有证书，先验证证书有效性，执行以下命令能正常输出证书信息即为有效：

openssl x509 -in <证书文件路径.crt.pem> -text -noout

第二步：生成PKCS12格式密钥库 #

PKCS12格式可直接作为Java Keystore使用，是目前Oracle官方推荐的密钥库格式：

openssl pkcs12 -export -in <证书文件路径.crt.pem> -inkey <私钥文件路径.pem> -name <自定义密钥别名> -out testkeystore.p12

执行时按提示输入私钥密码（如果私钥无加密可跳过），再设置PKCS12密钥库的密码即可，自定义的密钥别名和设置的密码后续Java代码调用时需要使用。

第三步（可选）：转成JKS格式密钥库 #

如果业务要求必须使用JKS格式，可通过JDK自带的keytool工具转换：

keytool -importkeystore -srckeystore testkeystore.p12 -srcstoretype pkcs12 -destkeystore testkeystore.jks -deststoretype jks

按提示输入之前设置的PKCS12密码，再自定义JKS的密码即可完成转换。

常见排错说明 #

• 所有文件路径如果包含空格、中文，需要用英文双引号包裹完整路径
• 如果需要导入证书链，可将根证书、中间证书内容按顺序追加到你的用户证书文件末尾，再执行第二步的生成命令即可
• 私钥如果是PKCS8格式也可直接使用，无需额外转换

内容的提问来源于stack exchange，提问作者Inderjeet_777