C#中PKCS1转PKCS8调用Google SDK报invalid_grant错误如何解决？

1. 核心问题：转换后的PKCS8私钥PEM格式不符合规范 #

你当前的转换逻辑中，导出PKCS8私钥后直接拼接了无换行的Base64字符串，而标准PEM格式要求Base64编码内容每64个字符插入一次换行。Google身份验证后端对PEM格式校验严格，非标准格式的私钥会导致签名计算错误，最终抛出invalid_grant类的签名异常。

修复方案仅需要修改转换后Base64字符串的生成逻辑，新增自动换行参数：

string pkcs8Key = null;
if (creds.PrivateKey.Contains("BEGIN RSA"))
{
    // Handle PKCS1
    var keyParts = creds.PrivateKey.Split("-----", StringSplitOptions.RemoveEmptyEntries);
    var rawKey = keyParts.OrderByDescending(s => s.Length).First();
    var base64Key = rawKey.Trim();

    var privateKeyBytes = Convert.FromBase64String(base64Key);
    using var privateKey = RSA.Create();
    privateKey.ImportRSAPrivateKey(privateKeyBytes, out _);
    var keyBytes = privateKey.ExportPkcs8PrivateKey();
    // 修正写法：增加换行符，使用Base64FormattingOptions.InsertLineBreaks生成符合标准的PEM格式
    pkcs8Key = $"-----BEGIN PRIVATE KEY-----\n{Convert.ToBase64String(keyBytes, Base64FormattingOptions.InsertLineBreaks)}\n-----END PRIVATE KEY-----\n";
}
else
{
    // Handle PKCS8
    pkcs8Key = creds.PrivateKey;
}

2. 私钥权限不足的排查方法 #

如果修改格式后仍然报错，可通过以下步骤确认是否是私钥本身权限问题：

• 将报错的PKCS1私钥通过openssl工具手动转换为PKCS8格式，执行命令：openssl rsa -in your_pkcs1_key.pem -out converted_pkcs8.pem -outform PEM -topk8 -nocrypt
• 用手动转换后的私钥替换代码中生成的pkcs8Key进行测试，如果仍然抛出签名异常，说明私钥本身无效或权限不足；如果测试正常，则说明你之前的代码转换逻辑存在其他细节问题。

3. 其他可排除的原因 #

如果原生获取的PKCS8私钥可以正常调用接口，即可排除系统时间偏差、账号权限、作用域配置等问题，因为这类问题会导致所有私钥验证都失败，不会仅在转换PKCS1后才报错。

注：权限不足对应的错误描述一般为insufficient permissions或access denied，不会返回签名异常类的invalid_grant错误。

内容的提问来源于stack exchange，提问作者Brent Arias