Windows下使用OpenSSL的passin参数提取PFX私钥时遇密码提示问题排查

我来帮你排查这个头疼的问题——明明已经用-passin pass:foobar指定了密码，却还是被要求交互输入，大概率是这几个常见原因之一：

1. 密码含特殊字符被Shell解析破坏 #

如果你的密码里有空格、引号、反斜杠这类特殊字符，直接写在命令里会被Windows的CMD或PowerShell解析成其他含义，导致OpenSSL根本没拿到正确的密码。

快速解决：
给密码套上双引号，让Shell把整个密码当作一个完整参数传递：

C:\OpenSSL-Win32\bin\openssl.exe pkcs12 -in cert.pfx -passin pass:"foobar" -out key.pem

要是密码里本身有双引号，PowerShell下可以用单引号包裹，CMD里则需要用反斜杠转义特殊字符。

2. 旧版OpenSSL的参数格式兼容问题 #

部分1.0.2之前的旧版OpenSSL对-passin的格式要求更严格，直接用pass:可能会出现解析异常。

替代方案：

• 把密码写入纯文本文件（比如pass.txt，注意文件里只写密码，别加多余换行），用file:读取：

  C:\OpenSSL-Win32\bin\openssl.exe pkcs12 -in cert.pfx -passin file:pass.txt -out key.pem
  

• 或者用环境变量传递密码，避免命令行解析问题：

  set OPENSSL_PWD=foobar
  C:\OpenSSL-Win32\bin\openssl.exe pkcs12 -in cert.pfx -passin env:OPENSSL_PWD -out key.pem
  

3. PowerShell的参数解析干扰 #

如果你是在PowerShell里执行命令，它对参数的拆分逻辑和CMD不一样，可能导致-passin pass:foobar被错误拆分。

解决办法：
用&显式调用OpenSSL，并给参数加上引号确保完整性：

& "C:\OpenSSL-Win32\bin\openssl.exe" pkcs12 -in cert.pfx -passin "pass:foobar" -out key.pem

或者直接切换到CMD环境下执行命令，避开PowerShell的解析规则。

额外提示：提取无加密私钥 #

如果你希望输出的key.pem本身不带密码（后续使用无需再输入），可以加上-nodes参数：

C:\OpenSSL-Win32\bin\openssl.exe pkcs12 -in cert.pfx -passin pass:"foobar" -out key.pem -nodes

你可以先试试给密码加引号的方案，这是最常见的触发原因，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者Darrell