Java实现JWT令牌生成是否必须用.jks文件？可否使用.pem文件替代

.jks不是JWT令牌生成的必需文件，你完全可以使用.pem格式的证书、密钥文件，甚至直接使用解码后的密钥字节内容实现JWT的签发与校验。

支持的密钥类型与使用方式 #

• 若你使用HS256/HS384/HS512等对称加密算法生成JWT：不需要任何证书或密钥库文件，直接使用符合长度要求的字符串或字节数组作为签名密钥即可。
• 若你使用RS256/ES256等非对称加密算法生成JWT：可以直接读取PEM格式的公钥/私钥内容使用，不需要封装为.jks密钥库。操作时只需去掉PEM内容的头尾标记（如-----BEGIN PRIVATE KEY-----、-----END PRIVATE KEY-----）、去除所有换行符后做Base64解码，就能得到密钥字节数组，转换为Java的PrivateKey/PublicKey对象即可用于签名、验签。

.jks加载报错的常见原因 #

你在PaaS平台存储编码后的.jks内容触发报错，大概率是编解码流程或加载代码有误，.jks本身完全支持不落地为物理文件加载：

• 存储时需将完整的.jks文件二进制内容做Base64编码后作为值存储，不能仅提取其中单个密钥内容存储
• 加载时先将Base64编码的.jks内容解码为字节数组，直接通过字节输入流加载即可，参考代码：

// 从PaaS键值对配置中读取编码后的.jks内容
String jksBase64Content = System.getenv("CONFIG_KEY_FOR_JKS");
byte[] jksBinaryContent = Base64.getDecoder().decode(jksBase64Content);
KeyStore jksKeyStore = KeyStore.getInstance("JKS");
// 直接从内存流加载，无需生成本地物理文件
jksKeyStore.load(new ByteArrayInputStream(jksBinaryContent), keyStorePassword.toCharArray());

PaaS场景下的更优方案 #

在不支持存储物理文件的PaaS环境下，直接使用PEM格式密钥比.jks更轻量易维护，操作流程如下：

1. 提取私钥PEM文件的内容，去掉头尾标记和所有换行符后，直接作为字符串值存入PaaS的键值对配置
2. 使用时读取配置内容做Base64解码，转换为PrivateKey对象即可用于JWT签名，参考代码：

// 从PaaS配置读取预处理后的私钥字符串
String privateKeyPemContent = System.getenv("CONFIG_KEY_FOR_PRIVATE_KEY");
byte[] privateKeyBinary = Base64.getDecoder().decode(privateKeyPemContent);
PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(privateKeyBinary);
PrivateKey privateKey = KeyFactory.getInstance("RSA").generatePrivate(keySpec);

内容的提问来源于stack exchange，提问作者dev2021