Android KeyStore中RSA私钥解密加密AES密钥遇InvalidKeyException问题

我来帮你排查这个java.security.InvalidKeyException: Need RSA private or public key的问题，这个错误通常和私钥的有效性、Cipher配置或者密钥生成参数有关，咱们一步步拆解：

1. 确认KeyStore中获取的私钥是有效的RSA私钥 #

首先要排查你从KeyStore拿到的私钥是不是真的RSA类型，以及KeyStore的加载是否正确：

• 先加日志打印私钥的算法：Log.d("KeyCheck", privateKeyEntry.getPrivateKey().getAlgorithm())，如果输出不是RSA，说明你生成密钥时用错了算法，或者别名KEY_ALIAS对应的不是RSA密钥对条目（比如不小心存了AES密钥）。
• 确认KeyStore加载流程正确：必须调用keyStore.load(null)（或者传入正确的加载参数），而且KEY_ALIAS对应的确实是PrivateKeyEntry，不是SecretKeyEntry。

2. 检查RSA_MODE的格式和提供者兼容性 #

Cipher的模式字符串必须和加密AES密钥时完全一致，并且要考虑Android版本的提供者兼容性：

• 确保RSA_MODE包含正确的填充方式，比如加密时用了"RSA/ECB/OAEPWithSHA-256AndMGF1Padding"，解密时也必须用完全相同的字符串，不能混用PKCS1Padding和OAEP填充。
• 尽量避免硬编码指定"AndroidOpenSSL"提供者，不同Android版本的提供者支持情况不同，试试直接用Cipher.getInstance(RSA_MODE)让系统自动选择合适的提供者，或者换成"BC"（BouncyCastle）试试。

3. 验证RSA密钥对的生成参数 #

如果密钥生成时的参数配置错误，私钥可能没有解密权限或者格式异常：

• 生成RSA密钥对时，必须使用AndroidKeyStore的KeyPairGenerator，并指定正确的用途和填充，比如：

  KeyPairGenerator kpg = KeyPairGenerator.getInstance(KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore");
  kpg.initialize(new KeyGenParameterSpec.Builder(KEY_ALIAS,
          KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
          .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_OAEP)
          .setDigests(KeyProperties.DIGEST_SHA256)
          .build());
  kpg.generateKeyPair();
  

• 重点要确保指定了KeyProperties.PURPOSE_DECRYPT，如果生成时只加了PURPOSE_ENCRYPT，私钥会没有解密权限，也会触发这个错误。

4. 调整解密代码的小技巧 #

如果前面的检查都没问题，可以试试调整解密代码：

• 先做类型校验，确保拿到的是RSA私钥：

  PrivateKey privateKey = privateKeyEntry.getPrivateKey();
  if (!"RSA".equalsIgnoreCase(privateKey.getAlgorithm())) {
      throw new IllegalArgumentException("获取到的不是RSA私钥！");
  }
  

• 初始化Cipher时，避免不必要的提供者指定，用系统默认的即可：

  Cipher output = Cipher.getInstance(RSA_MODE);
  output.init(Cipher.DECRYPT_MODE, privateKey);
  

内容的提问来源于stack exchange，提问作者Mohammad Ranjbar Z