我完全懂你的感受——其他语言几行代码就能搞定的HTTPS服务器，到Java这里好像总被keytool或者复杂的库绑定，尤其不想折腾证书格式转换的时候。其实纯JDK就能直接实现你的需求，不用任何外部依赖，下面是极简的步骤和代码：

核心思路 #

跳过keytool转换，直接解析PEM文件里的Base64内容，生成JDK能识别的X509Certificate和PrivateKey，再通过SSLContext初始化HTTPS服务器。

完整代码实现 #

import com.sun.net.httpserver.HttpsConfigurator;
import com.sun.net.httpserver.HttpsServer;
import javax.net.ssl.*;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.net.InetSocketAddress;
import java.nio.charset.StandardCharsets;
import java.security.*;
import java.security.cert.CertificateException;
import java.security.cert.X509Certificate;
import java.util.Base64;

public class PemHttpsServer {

    public static void main(String[] args) throws Exception {
        // 替换为你的CertBot生成的PEM文件路径
        String certPath = "/path/to/fullchain.pem";
        String keyPath = "/path/to/privkey.pem";

        // 加载证书和私钥
        X509Certificate cert = loadX509Cert(certPath);
        PrivateKey privateKey = loadPrivateKey(keyPath);

        // 创建KeyStore并填充证书和密钥
        KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        keyStore.load(null, null);
        keyStore.setCertificateEntry("cert", cert);
        keyStore.setKeyEntry("key", privateKey, new char[0], new java.security.cert.Certificate[]{cert});

        // 初始化KeyManagerFactory和SSLContext
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(keyStore, new char[0]);
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(kmf.getKeyManagers(), null, new SecureRandom());

        // 启动HTTPS服务器
        HttpsServer server = HttpsServer.create(new InetSocketAddress(443), 0);
        server.setHttpsConfigurator(new HttpsConfigurator(sslContext));

        // 添加简单的请求处理器
        server.createContext("/", exchange -> {
            String response = "Hello from HTTPS server with CertBot PEM!";
            exchange.sendResponseHeaders(200, response.getBytes(StandardCharsets.UTF_8).length);
            exchange.getResponseBody().write(response.getBytes(StandardCharsets.UTF_8));
            exchange.close();
        });

        server.start();
        System.out.println("HTTPS server running on port 443");
    }

    // 加载X509证书从PEM文件
    private static X509Certificate loadX509Cert(String certPath) throws IOException, CertificateException {
        try (InputStream is = new FileInputStream(certPath)) {
            String pem = new String(is.readAllBytes(), StandardCharsets.UTF_8)
                    .replace("-----BEGIN CERTIFICATE-----", "")
                    .replace("-----END CERTIFICATE-----", "")
                    .replaceAll("\\s", "");

            byte[] certBytes = Base64.getDecoder().decode(pem);
            java.security.cert.CertificateFactory cf = java.security.cert.CertificateFactory.getInstance("X.509");
            return (X509Certificate) cf.generateCertificate(new java.io.ByteArrayInputStream(certBytes));
        }
    }

    // 加载PKCS8格式的私钥从PEM文件（CertBot默认生成的就是这种）
    private static PrivateKey loadPrivateKey(String keyPath) throws IOException, NoSuchAlgorithmException, InvalidKeySpecException {
        try (InputStream is = new FileInputStream(keyPath)) {
            String pem = new String(is.readAllBytes(), StandardCharsets.UTF_8)
                    .replace("-----BEGIN PRIVATE KEY-----", "")
                    .replace("-----END PRIVATE KEY-----", "")
                    .replaceAll("\\s", "");

            byte[] keyBytes = Base64.getDecoder().decode(pem);
            KeyFactory kf = KeyFactory.getInstance("RSA");
            return kf.generatePrivate(new PKCS8EncodedKeySpec(keyBytes));
        }
    }
}

关键说明 #

• 文件路径替换：把certPath和keyPath改成你实际的CertBot生成文件路径（通常是/etc/letsencrypt/live/your-domain/fullchain.pem和privkey.pem）
• PKCS#1格式兼容：如果你的私钥是-----BEGIN RSA PRIVATE KEY-----开头的PKCS#1格式，JDK默认的PKCS8EncodedKeySpec无法直接解析。这种情况下，你可以用CertBot重新生成PKCS8格式的密钥（命令：openssl pkcs8 -topk8 -inform PEM -in privkey.pem -outform PEM -nocrypt -out privkey-pkcs8.pem），或者如果不想用openssl，可以引入轻量的BouncyCastle库来解析，但尽量保持无外部依赖的话，优先转成PKCS8。
• 权限问题：运行时要确保Java进程能读取PEM文件（CertBot生成的文件权限通常是root只读，可能需要调整权限或者用sudo运行）。

这个方案完全符合你的需求：直接把PEM文件拖进项目（或者指定路径），纯JDK代码实现，不用keytool，也不用庞大的外部库，几行核心代码就搞定了HTTPS服务器的启动。

内容的提问来源于stack exchange，提问作者satnam