如何将加密的PrivateKey存储到Java Keystores中？

这个问题其实戳中了Java密钥库API的一个小细节——确实，EncryptedPrivateKeyInfo这类遵循PKCS#8标准的加密私钥并没有实现Key接口，没法直接塞进常规的PrivateKeyEntry里。不过有两种靠谱的方式可以解决，看你的需求来选：

场景1：直接存储已加密的私钥（不解密） #

如果你的需求是把现成的加密私钥原样存进密钥库，不想先解密成PrivateKey，可以把它包装成SecretKey来存储：

• 先把EncryptedPrivateKeyInfo转成字节数组，再用SecretKeySpec包装成一个自定义的SecretKey：

  byte[] encryptedPkBytes = encryptedPrivateKeyInfo.getEncoded();
  // 用自定义算法名标记这是PKCS#8加密私钥
  SecretKey encryptedPk = new SecretKeySpec(encryptedPkBytes, "PKCS8_ENCRYPTED");
  

• 然后用密钥库的setEntry方法，以SecretKeyEntry的形式存储：

  KeyStore ks = KeyStore.getInstance("PKCS12"); // 推荐用PKCS12而非JKS
  ks.load(new FileInputStream("my-keystore.p12"), storePass.toCharArray());
  
  // 存储时指定条目密码，保护这个加密私钥条目
  ks.setEntry("encrypted-rsa-key",
              new KeyStore.SecretKeyEntry(encryptedPk),
              new KeyStore.PasswordProtection(entryPass.toCharArray()));
  
  ks.store(new FileOutputStream("my-keystore.p12"), storePass.toCharArray());
  

• 读取时反向操作，取出字节数组重构EncryptedPrivateKeyInfo：

  KeyStore.SecretKeyEntry entry = (KeyStore.SecretKeyEntry) ks.getEntry(
      "encrypted-rsa-key",
      new KeyStore.PasswordProtection(entryPass.toCharArray())
  );
  byte[] encryptedBytes = entry.getSecretKey().getEncoded();
  EncryptedPrivateKeyInfo encryptedPkInfo = new EncryptedPrivateKeyInfo(encryptedBytes);
  

场景2：先解密私钥，再由密钥库加密存储（更规范） #

这是更常见的做法：先把加密私钥解密成标准的PrivateKey，再交给密钥库负责加密存储（利用密钥库自身的安全机制）：

• 用解密密码把EncryptedPrivateKeyInfo转换成PrivateKey：

  char[] decryptPass = "my-decrypt-password".toCharArray();
  KeyFactory rsaFactory = KeyFactory.getInstance("RSA");
  PrivateKey plainPk = rsaFactory.generatePrivate(
      encryptedPrivateKeyInfo.getKeySpec(decryptPass)
  );
  

• 创建PrivateKeyEntry（如果有对应的证书链可以一起存），然后存入密钥库：

  X509Certificate[] certChain = ...; // 可选，私钥对应的证书链
  ks.setEntry("rsa-private-key",
              new KeyStore.PrivateKeyEntry(plainPk, certChain),
              new KeyStore.PasswordProtection(entryPass.toCharArray()));
  ks.store(...);
  

• 这种方式的好处是，密钥库会按照自身的标准加密算法（比如PKCS12默认用AES-GCM）保护私钥，不需要你自己处理加密逻辑，安全性和兼容性更好。

几个关键注意点 #

• 优先用PKCS12格式的密钥库，而非老旧的JKS：PKCS12是跨平台标准，对加密私钥的支持更完善，安全性也更高。
• 如果用BouncyCastle作为安全提供者，它的密钥库实现（比如BCPKCS12）对自定义加密私钥条目的支持更灵活，还能兼容更多加密算法。
• 不要把加密私钥当作普通二进制数据存储：用密钥库的条目存储可以利用其完整性校验和加密机制，避免数据被篡改或泄露。

内容的提问来源于stack exchange，提问作者FUD