Bouncy Castle添加ExtendedKeyUsage：DEROctetString与直接传对象的区别

你提到的这两种写法都是正确的，最终生成的证书ExtendedKeyUsage扩展内容完全一致，区别主要在于Bouncy Castle库的方法重载设计以及编码逻辑的处理方式：

• 第一种写法（直接传ExtendedKeyUsage对象）
  这是更简洁、推荐的写法。因为X509V3CertificateBuilder.addExtension()有一个重载版本，参数接受实现了ASN1Encodable接口的对象——而ExtendedKeyUsage正好实现了这个接口。当你直接传入eku时，库的底层会自动将其编码为对应的ASN.1结构，并封装成DEROctetString，不需要你手动处理，这也是编译器没有警告的原因，完全符合方法签名要求。

• 第二种写法（手动包裹DEROctetString）
  这种写法其实是做了库底层已经帮你完成的工作。有些旧示例可能是基于更早版本的Bouncy Castle，或者是开发者习惯了手动处理所有ASN.1编码步骤，但对于ExtendedKeyUsage来说，手动包裹是冗余的。不过这种写法本身也没有错误，因为DEROctetString同样实现了ASN1Encodable，符合方法参数要求。

哪种更优？ #

毫无疑问第一种写法更优：

1. 代码更简洁，减少了不必要的冗余代码；
2. 利用库的内置逻辑，避免手动处理ASN.1编码时可能出现的错误；
3. 更贴合Bouncy Castle的API设计意图。

内容的提问来源于stack exchange，提问作者nikojov