如何在命令行将PEM文件导出为带密码的PFX并实现脚本化？

刚好我之前也折腾过这个手动输入密码的麻烦事，完全可以通过OpenSSL的pkcs12命令搭配密码参数实现全脚本化处理，不用任何交互输入。

核心思路 #

OpenSSL的pkcs12命令支持通过-passout参数直接指定输出PFX的密码，避免手动输入；如果你的PEM文件里的私钥本身是加密的，还可以用-passin参数指定读取私钥的密码。

基础场景（PEM私钥未加密） #

如果你的PEM文件包含未加密的私钥和证书，直接用下面的脚本即可：

#!/bin/bash
# 从脚本参数或环境变量获取密码（绝对不建议硬编码！）
PFX_PASSWORD="$1"
# 定义文件路径
SOURCE_PEM="./your-cert-and-key.pem"
TARGET_PFX="./output.pfx"

# 执行导出命令
openssl pkcs12 -export -in "$SOURCE_PEM" -out "$TARGET_PFX" -passout pass:"$PFX_PASSWORD"

调用脚本时直接传递密码：./export-pfx.sh "your-secure-password"

进阶场景（PEM私钥已加密） #

如果你的PEM里的私钥是带密码的，需要加上-passin参数指定私钥的解锁密码：

#!/bin/bash
# 私钥密码和PFX密码可以分开设置
PEM_KEY_PASSWORD="$1"
PFX_OUTPUT_PASSWORD="$2"
SOURCE_PEM="./encrypted-key-cert.pem"
TARGET_PFX="./protected-output.pfx"

openssl pkcs12 -export -in "$SOURCE_PEM" -out "$TARGET_PFX" \
  -passin pass:"$PEM_KEY_PASSWORD" \
  -passout pass:"$PFX_OUTPUT_PASSWORD"

调用方式：./export-pfx.sh "key-unlock-pass" "pfx-protect-pass"

关键参数说明 #

• -export：明确告诉OpenSSL要导出PKCS12（PFX）格式文件
• -passout pass:<password>：直接传递PFX文件的保护密码，跳过交互输入
• -passin pass:<password>：用于解锁加密的PEM私钥，同样无需手动输入

安全提醒 #

千万不要把密码硬编码在脚本里！建议通过脚本参数、环境变量或者安全的密钥管理工具来传递密码，避免密码泄露。

验证导出结果 #

可以用下面的命令验证PFX文件是否正确生成：

openssl pkcs12 -info -in ./output.pfx -passin pass:"your-password"

内容的提问来源于stack exchange，提问作者Vituvo