如何从.pem及.jks文件生成.key文件？遇密码要求该如何处理？

我来帮你梳理下从现有文件生成.key的可行方案，以及你提到的密码短语问题：

方案1：直接处理me-key.pem #

其实me-key.pem本身就是PEM格式的私钥文件，很多场景下，.key文件本质就是PEM格式的私钥。你可以先查看它的内容确认：

cat me-key.pem

• 如果内容开头是-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----：直接将文件重命名为your-target.key即可，大部分SSL工具都能正常识别使用。
• 如果开头是-----BEGIN ENCRYPTED PRIVATE KEY-----：说明这个私钥是加密的，需要解密后才能生成可用的.key文件，执行以下命令：

openssl rsa -in me-key.pem -out your-target.key

执行时会要求输入密码短语，这个密码是当初加密私钥时设置的，必须向文件提供者索要，没有密码无法解密私钥。

方案2：从JKS密钥库提取私钥 #

如果你需要从.jks文件中提取私钥生成.key，步骤如下：

1. 先把JKS格式转换为OpenSSL支持的PKCS12格式：

keytool -importkeystore -srckeystore your-file.jks -destkeystore temp.p12 -deststoretype PKCS12

这里会提示输入JKS的密钥库密码，同样需要向提供者获取，因为JKS是受密码保护的容器。
2. 从PKCS12文件中提取私钥：

# 生成加密的.key文件
openssl pkcs12 -in temp.p12 -nocerts -out your-target.key
# 生成未加密的.key文件（无需后续输入密码）
openssl pkcs12 -in temp.p12 -nocerts -nodes -out your-target.key

执行时会先要求输入PKCS12的密码（就是你刚才转换时设置的，或者直接用JKS的密码），如果用-nodes参数就不会给生成的.key加密，后续使用也不需要密码。

关于密码短语的疑问 #

没错，你必须向文件提供者索要对应的密码：

• 如果me-key.pem是加密状态，需要解密它的密码；
• 如果从JKS提取，需要JKS密钥库的访问密码；
  这些密码都是文件创建者设置的，没有密码的话无法访问或解密受保护的私钥内容，这也是SSL安全机制的一部分。

内容的提问来源于stack exchange，提问作者developer