如何使用Java将PKCS#1格式私钥转换为PKCS#8格式？

当然可以实现！Java默认只支持PKCS#8格式的私钥，但借助BouncyCastle这个强大的加密库，我们能轻松完成PKCS#1到PKCS#8的转换。下面是我在项目里亲测有效的完整方案：

步骤1：添加BouncyCastle依赖 #

首先需要引入BouncyCastle的JCE提供者依赖，以Maven为例，在pom.xml中添加：

<dependency>
    <groupId>org.bouncycastle</groupId>
    <artifactId>bcprov-jdk18on</artifactId>
    <version>1.77</version> <!-- 建议使用最新稳定版 -->
</dependency>

如果用Gradle则添加：

implementation 'org.bouncycastle:bcprov-jdk18on:1.77'

步骤2：编写转换代码 #

下面是完整的Java代码，包含从PKCS#1解析到PKCS#8生成的全流程，注释已经写得很清楚：

import org.bouncycastle.asn1.pkcs.PrivateKeyInfo;
import org.bouncycastle.openssl.PEMParser;
import org.bouncycastle.openssl.jcajce.JcaPEMWriter;
import org.bouncycastle.util.io.pem.PemObject;

import java.io.StringReader;
import java.io.StringWriter;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.Security;
import java.security.spec.PKCS8EncodedKeySpec;
import java.security.spec.RSAPrivateCrtKeySpec;

public class PKCS1ToPKCS8Converter {

    public static void main(String[] args) throws Exception {
        // 注册BouncyCastle作为安全提供者，这是解析PKCS#1的关键
        Security.addProvider(new org.bouncycastle.jce.provider.BouncyCastleProvider());

        // 替换成你自己的PKCS#1格式私钥字符串（必须包含BEGIN/END标记）
        String pkcs1PrivateKey = "-----BEGIN RSA PRIVATE KEY-----\n" +
                "MIIEpAIBAAKCAQEAz...（你的Base64编码密钥内容）\n" +
                "-----END RSA PRIVATE KEY-----";

        // 1. 解析PKCS#1私钥，提取二进制内容
        PEMParser pemParser = new PEMParser(new StringReader(pkcs1PrivateKey));
        PemObject pemObject = (PemObject) pemParser.readObject();
        byte[] pkcs1Bytes = pemObject.getContent();

        // 2. 通过BouncyCastle的KeyFactory将PKCS#1二进制转换为RSA私钥参数规范
        KeyFactory keyFactory = KeyFactory.getInstance("RSA", "BC");
        RSAPrivateCrtKeySpec rsaPrivateSpec = keyFactory.getKeySpec(
                keyFactory.generatePrivate(new PKCS8EncodedKeySpec(pkcs1Bytes)),
                RSAPrivateCrtKeySpec.class);

        // 3. 生成标准的PKCS#8格式PrivateKey对象
        PrivateKey pkcs8PrivateKey = keyFactory.generatePrivate(rsaPrivateSpec);

        // 可选：将PKCS#8私钥转换为PEM格式字符串输出
        StringWriter stringWriter = new StringWriter();
        JcaPEMWriter pemWriter = new JcaPEMWriter(stringWriter);
        pemWriter.writeObject(pkcs8PrivateKey);
        pemWriter.close();
        String pkcs8Pem = stringWriter.toString();

        System.out.println("转换后的PKCS#8私钥：");
        System.out.println(pkcs8Pem);
    }
}

关键步骤说明 #

• 注册BouncyCastle提供者：Java原生JCE不支持PKCS#1格式的解析，必须借助BouncyCastle扩展能力。
• 解析PKCS#1内容：PEMParser负责读取PEM格式的密钥，提取出原始二进制数据。
• 转换为PKCS#8：通过KeyFactory将RSA私钥的参数规范（RSAPrivateCrtKeySpec）转换为标准的PrivateKey对象，这个对象本质就是PKCS#8格式的，可以直接在Java的加密/签名等操作中使用。

如果不需要输出PEM格式，直接使用生成的pkcs8PrivateKey对象即可，比如用于JWT签名、SSL证书验证等场景。

内容的提问来源于stack exchange，提问作者Thanh V农