如何在 Java 中正确解密 PEM 格式密码保护的私钥-java教程-PHP中文网

如何在 Java 中正确解密 PEM 格式密码保护的私钥

本文详解如何使用 java 原生 api（无需 bouncy castle）安全、可靠地解密 aws acm 导出的密码保护私钥（pkcs#8 加密格式），重点解决 `java.io.ioexception: extra data given to dervalue constructor` 等常见解析异常。

在使用 AWS ACM 导出证书时，私钥默认以 PEM 封装的 PKCS#8 Encrypted Private Key 格式输出（即以 -----BEGIN ENCRYPTED PRIVATE KEY----- 开头）。直接对原始字符串调用 new EncryptedPrivateKeyInfo(private_key.getBytes()) 会失败，原因在于：该构造函数期望传入的是 DER 编码的二进制内容，而非包含 PEM 头尾和 Base64 编码的完整文本字符串。错误 extra data given to DerValue constructor 正是由于 PEM 封装头/尾、换行符及 Base64 元数据被误当作 DER 数据解析所致。

正确做法是先剥离 PEM 封装，提取纯 Base64 内容并解码为 DER 字节数组。推荐使用标准 PemReader（来自 Bouncy Castle 的 org.bouncycastle.openssl.PemReader）完成此步骤；若需纯 JDK 方案（无第三方依赖），也可手动解析 PEM——但需谨慎处理换行、空格及 Base64 解码。

以下是经过验证的完整解密方法（基于 Bouncy Castle）：

Java 接口排错助手

在调试 Java 后端 API 故障时使用此技能，尤其适用于以下任务：分析日志、跨 Controller、Service 和 Mapper 层追踪请求、定位异常根因、检查 SQL 执行或参数流转，以及生成简洁的诊断结论与修复方案。

下载

import org.bouncycastle.openssl.PemReader;
import javax.crypto.Cipher;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.PBEKeySpec;
import java.io.StringReader;
import java.security.KeyFactory;
import java.security.PrivateKey;
import java.security.spec.EncryptedPrivateKeyInfo;
import java.security.spec.KeySpec;

public PrivateKey readPrivateKey(String privateKeyPem, String passphrase) throws Exception {
    try (PemReader pemReader = new PemReader(new StringReader(privateKeyPem))) {
        // 1. 解析 PEM 对象，获取原始 DER 编码字节
        byte[] derBytes = pemReader.readPemObject().getContent();

        // 2. 构建 EncryptedPrivateKeyInfo（此时输入为合法 DER）
        EncryptedPrivateKeyInfo encryptedInfo = new EncryptedPrivateKeyInfo(derBytes);

        // 3. 初始化密码派生与解密
        String algName = encryptedInfo.getAlgName();
        Cipher cipher = Cipher.getInstance(algName);
        PBEKeySpec keySpec = new PBEKeySpec(passphrase.toCharArray());
        SecretKeyFactory factory = SecretKeyFactory.getInstance(algName);
        cipher.init(Cipher.DECRYPT_MODE, factory.generateSecret(keySpec), encryptedInfo.getAlgParameters());

        // 4. 解密得到 PKCS#8 私钥规范，并生成 PrivateKey 实例
        KeySpec keySpecPkcs8 = encryptedInfo.getKeySpec(cipher);
        KeyFactory kf = KeyFactory.getInstance("RSA"); // 若为 EC 私钥，改为 "EC"
        return kf.generatePrivate(keySpecPkcs8);
    }
}

✅ 关键注意事项：