如何生成包含x5c、x5t参数的RSA算法JWK密钥

x5c参数取值说明 #

你使用自签名X.509证书工具生成的证书可以直接作为x5c参数的取值，只需做简单格式处理：

• 先移除证书内容中的-----BEGIN CERTIFICATE-----头部、-----END CERTIFICATE-----尾部
• 删掉所有换行符，将剩余的连续Base64编码字符串放入x5c数组即可。注意x5c为数组类型，单张自签名证书的场景下直接填入单个字符串元素即可。

x5t参数生成方法 #

x5t是X.509证书的SHA-1指纹经过Base64URL编码后的结果，生成步骤如下：

• 第一步：获取原始二进制DER编码的X.509证书。如果拿到的是PEM格式证书，先解码PEM的Base64内容得到二进制DER数据
• 第二步：对DER二进制数据计算SHA-1哈希，得到20字节的二进制哈希结果
• 第三步：对哈希结果做Base64URL编码，编码时需移除末尾的=填充符，同时将+替换为-、/替换为_，最终得到的字符串就是x5t的取值

本地生成参考命令 #

你也可以通过openssl在本地完成所有操作，无需使用在线工具：

• 生成2048位RSA自签名证书和对应私钥：openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 -keyout private.key -out certificate.crt
• 提取x5c内容：打开生成的certificate.crt文件，移除头尾标识和所有换行即可
• 直接计算x5t值：openssl x509 -in certificate.crt -outform DER | sha1sum | awk '{print $1}' | xxd -r -p | base64 | tr '+/' '-_' | tr -d '='

内容的提问来源于stack exchange，提问作者GregH