如何用BouncyCastle从PKCS12文件导出含证书链的CRT文件

很多人一开始会误以为需要专门的存储类组件封装证书才能导出CRT，实际上你当前拿到的Certificate[] certs证书数组，根本不需要额外的“存储构建组件”来完成目标。
对应OpenSSL命令openssl pkcs12 -in [yourfilename.pfx] -clcerts -nokeys -out [certificatename.crt]的输出本质，就是将证书链内所有X.509证书依次做标准PEM编码，按顺序拼接成的纯文本文件，全程不涉及私钥解析、也不依赖特殊的存储结构。

• 不对证书数组做多余的结构封装，直接遍历数组内的所有证书条目
• 对每个证书条目做标准PEM格式编码，生成格式固定的证书块（即带-----BEGIN CERTIFICATE-----/-----END CERTIFICATE-----头尾标记的Base64文本块）
• 严格按照Keystore返回的证书链顺序（终端叶子证书在前、中间CA、根证书在后），将所有PEM块依次写入目标CRT文件

直接调用BouncyCastle内置的JcaPEMWriter即可完成写入，不需要额外引入其他构建组件：

// 已获取的证书链数组：Certificate[] certs = pKeyStore.getCertificateChain(pAlias);
try (FileWriter fileWriter = new FileWriter("exported.crt");
     JcaPEMWriter pemWriter = new JcaPEMWriter(fileWriter)) {
    for (Certificate cert : certs) {
        // 逐条目写入证书，编码逻辑与OpenSSL输出完全一致
        pemWriter.writeObject(cert);
    }
}

• 不能只导出证书链的第一个叶子证书：OpenSSL的-clcerts参数会完整输出整个证书链的所有条目，缺漏中间证书会导致证书链校验失败
• 不能调整证书数组的原有顺序：顺序错乱会导致文件与OpenSSL导出的结构不匹配，部分场景下会被解析器判定为无效证书链
• 不能写入任何私钥内容：原OpenSSL命令带-nokeys参数，输出文件仅包含公开证书内容，夹带私钥会与目标导出效果不一致

内容的提问来源于stack exchange，提问作者Cristiano