如何将无对应私钥的纯PEM公钥导入Java Keystore（JKS）？

你说得完全没错——Java密钥库（不管是存私钥的keystore还是存信任公钥的truststore）确实不支持直接导入单独的公钥，它只认X.509证书（因为证书不仅包含公钥，还附带了身份标识、有效期等必要元数据）。不过不用担心，我们可以把纯PEM公钥转换成自签名证书，然后顺利导入JKS，下面是具体的实操步骤：

方法：用OpenSSL生成自签名证书（基于现有公钥） #

假设你的纯公钥文件名为public_key.pem，步骤如下：

1. 生成一个临时RSA私钥（仅用于签署证书，生成后可丢弃）：

openssl genrsa -out temp_private.key 2048

2. 创建证书签名请求（CSR），指定使用你现有的公钥：

openssl req -new -key temp_private.key -out cert_request.csr -subj "/CN=MyTrustedService/O=MyOrganization/C=CN"
# 提示：-subj后的字段可自定义，CN是证书的通用名称（比如服务域名/实体名称），O是组织名，C是国家代码

3. 用临时私钥签署CSR，生成有效期10年的自签名证书：

openssl x509 -req -in cert_request.csr -signkey temp_private.key -out trusted_cert.crt -days 3650

4. 验证证书中的公钥与原公钥是否一致（可选，但推荐做）：

# 从证书中提取公钥
openssl x509 -in trusted_cert.crt -pubkey -noout > extracted_pubkey.pem
# 对比原公钥和提取的公钥
diff public_key.pem extracted_pubkey.pem
# 无输出则说明公钥完全匹配

将生成的证书导入JKS #

现在可以把自签名证书导入到JKS信任库（或密钥库）中：

导入到新的JKS信任库 #

keytool -importcert -file trusted_cert.crt -keystore my_truststore.jks -alias "my_trusted_public_key"

执行后按提示输入密钥库密码，然后输入yes确认信任该证书即可。

导入到已有的JKS信任库 #

只需在命令中指定已有的密钥库路径即可：

keytool -importcert -file trusted_cert.crt -keystore existing_truststore.jks -alias "my_trusted_public_key"

关键说明 #

• 生成的自签名证书完全满足JKS的导入要求，因为JKS信任库只关心证书中的公钥有效性，临时私钥仅用于签署证书，无需保留（生成后可删除temp_private.key和cert_request.csr）。
• 如果你的需求是将公钥作为信任凭证（比如验证第三方签名、SSL连接），这种方法完全可行；如果是要将公钥作为密钥库中的“公钥条目”，JKS本身不支持这种形式，必须以证书形式存在。

内容的提问来源于stack exchange，提问作者trunkc