如何使用C#将PEM/P12格式证书转换为BKS格式

我之前跟你一样，找了好几天都没找到纯C#代码实现的方案，网上大多都是让用keytool命令行工具，完全不符合“程序化转换”的需求，后来折腾了好一阵，靠着BouncyCastle类库终于搞定了，给你分享下可行的办法。

首先得明确：BKS是BouncyCastle定义的密钥库格式，.NET框架本身没有原生支持，所以必须借助Org.BouncyCastle这个NuGet包，这是前提哈。

前置准备 #

• 先在你的项目里安装BouncyCastle的NuGet包，在NuGet包管理器里搜索Org.BouncyCastle安装，或者用包管理器控制台命令：

Install-Package Org.BouncyCastle

（不管你是.NET Framework、.NET Core还是.NET 5+，这个包都能兼容）

方法一：PKCS#12（.p12/.pfx）转BKS #

如果你的证书是P12格式（通常包含私钥和证书链），可以用下面的代码直接转换：

using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Pkcs;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;
using System.IO;

public static void ConvertP12ToBks(string p12FilePath, string p12Password, string bksFilePath, string bksPassword)
{
    // 读取本地P12文件
    using var p12Stream = new FileStream(p12FilePath, FileMode.Open, FileAccess.Read);
    var p12Store = new Pkcs12Store(p12Stream, p12Password.ToCharArray());

    // 初始化一个空的BKS密钥库
    var bksStore = new Org.BouncyCastle.Crypto.Store.BksStore();
    var secureRandom = new SecureRandom();

    // 遍历P12里的所有条目，逐个导入到BKS中
    foreach (var alias in p12Store.Aliases)
    {
        if (p12Store.IsKeyEntry(alias))
        {
            // 处理私钥条目，同时关联对应的证书链
            var keyEntry = p12Store.GetKey(alias);
            var certChain = p12Store.GetCertificateChain(alias);
            bksStore.AddKeyEntry(alias, keyEntry.Key, bksPassword.ToCharArray(), certChain);
        }
        else if (p12Store.IsCertificateEntry(alias))
        {
            // 处理单独的证书条目
            var certEntry = p12Store.GetCertificate(alias);
            bksStore.AddCertificateEntry(alias, certEntry.Certificate);
        }
    }

    // 将BKS密钥库写入到目标文件
    using var bksStream = new FileStream(bksFilePath, FileMode.Create, FileAccess.Write);
    bksStore.Save(bksStream, bksPassword.ToCharArray(), secureRandom);
}

这段代码会完整保留P12里的私钥、证书链信息，直接转成BKS格式，完全不需要调用任何外部命令。

方法二：PEM格式证书/私钥转BKS #

如果你的证书是PEM格式（纯文本带-----BEGIN CERTIFICATE-----头的），分两种情况处理：

情况1：仅转换单独的PEM证书（公钥） #

using Org.BouncyCastle.Crypto.Store;
using Org.BouncyCastle.OpenSsl;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;
using System.IO;

public static void ConvertPemCertToBks(string pemCertFilePath, string bksFilePath, string bksPassword)
{
    // 读取PEM证书文件
    X509Certificate cert;
    using var pemStream = new FileStream(pemCertFilePath, FileMode.Open, FileAccess.Read);
    using var pemReader = new PemReader(new StreamReader(pemStream));
    cert = (X509Certificate)pemReader.ReadObject();

    // 创建BKS密钥库并添加证书
    var bksStore = new BksStore();
    var secureRandom = new SecureRandom();
    bksStore.AddCertificateEntry("my-cert-alias", cert);

    // 保存BKS文件
    using var bksStream = new FileStream(bksFilePath, FileMode.Create, FileAccess.Write);
    bksStore.Save(bksStream, bksPassword.ToCharArray(), secureRandom);
}

情况2：转换PEM私钥+对应证书 #

如果你的私钥和证书是分开的两个PEM文件，可以用下面的代码：

using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Store;
using Org.BouncyCastle.OpenSsl;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;
using System.IO;

public static void ConvertPemKeyAndCertToBks(string pemKeyPath, string pemCertPath, string bksFilePath, string bksPassword)
{
    // 读取PEM私钥
    AsymmetricKeyParameter privateKey;
    using var keyStream = new FileStream(pemKeyPath, FileMode.Open, FileAccess.Read);
    using var keyReader = new PemReader(new StreamReader(keyStream));
    privateKey = (AsymmetricKeyParameter)keyReader.ReadObject();

    // 读取对应PEM证书
    X509Certificate cert;
    using var certStream = new FileStream(pemCertPath, FileMode.Open, FileAccess.Read);
    using var certReader = new PemReader(new StreamReader(certStream));
    cert = (X509Certificate)certReader.ReadObject();

    // 创建BKS密钥库，添加私钥和关联证书
    var bksStore = new BksStore();
    var secureRandom = new SecureRandom();
    bksStore.AddKeyEntry("my-private-key-alias", privateKey, bksPassword.ToCharArray(), new[] { cert });

    // 保存最终的BKS文件
    using var bksStream = new FileStream(bksFilePath, FileMode.Create, FileAccess.Write);
    bksStore.Save(bksStream, bksPassword.ToCharArray(), secureRandom);
}

一些要注意的细节 #

• 关于BouncyCastle版本：我用的是1.8.10以上的稳定版，旧版本可能有些API名不一样，比如BksStore在极旧版本里可能叫BouncyCastleStore，注意区分
• 密码安全：处理完密码字符数组后，最好用Array.Clear(passwordChars, 0, passwordChars.Length)清空，避免敏感信息留在内存里
• 证书链：如果你的P12或者PEM包含完整的证书链，代码里的GetCertificateChain会自动获取全部条目，不需要额外手动添加
• BKS版本：如果需要生成特定版本的BKS（比如更安全的BKSv2），可以查看BksStore的构造函数，有参数可以指定存储版本

备注：内容来源于stack exchange，提问作者Yesname