keytool 是 JDK 自带的证书与密钥管理工具，无需额外安装；生成自签名证书需用 keytool -genkeypair 指定 PKCS12 格式、别名、算法及有效期，并确保 CN 与访问地址匹配；导入证书须为 PEM 格式且补全证书链，PKCS12 不支持直接替换绑定私钥的证书，需保证公钥匹配；keytool 与 openssl 密钥格式不兼容，需转换；Java 8u161+ 要求 KeyUsage 扩展，应显式添加；不同 JDK 版本对 keystore 格式兼容性差，建议新建时明确指定 storetype 和 keyalg。
keytool 是 JDK 自带的证书与密钥管理工具，不是第三方库，也不需要额外安装——只要 java 命令能用，keytool 就一定在 $JAVA_HOME/bin/ 下。
怎么生成自签名证书并导入到 keystore
开发调试 HTTPS 服务、启动 Spring Boot 的 HTTPS 模式、或测试 TLS 客户端认证时最常用的操作。默认使用 JKS 格式（Java 9+ 默认仍兼容，但新项目建议用 PKCS12）。
-
keytool -genkeypair -alias myserver -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore server.p12 -validity 3650：生成密钥对并存为 PKCS12 格式（更安全、跨语言友好） - 执行时会提示输入 keystore 密码、密钥密码（可相同）、DN 信息（如
CN=localhost, OU=dev, O=myapp, L=Beijing, ST=BJ, C=CN），其中CN必须与你后续访问的域名或 IP 匹配，否则浏览器会报NET::ERR_CERT_COMMON_NAME_INVALID - 别名（
-alias）不能重复；同一个 keystore 中重复 alias 会导致覆盖，且无提示
为什么 import-certificate 总失败：常见错误现象与修复
典型报错是 keytool error: java.lang.Exception: Input not an X.509 certificate 或 Failed to establish chain from reply，本质是证书链不完整或格式不对。
- 确保导入的是 PEM 格式证书（以
-----BEGIN CERTIFICATE-----开头），不是 DER 或 CRT 二进制；可用file cert.crt确认，若显示data而非PEM certificate，需先转换：openssl x509 -in cert.der -inform DER -out cert.pem -outform PEM - 如果证书由 CA 签发（比如 Let’s Encrypt），必须同时导入根证书和中间证书，否则 Java 无法构建信任链；用
-trustcacerts不起作用，得用-importcert -file intermediate.pem -alias inter -keystore server.p12逐个导入 - PKCS12 keystore 不支持直接
importcert到已有私钥条目下——它只允许导入“信任证书”，不能绑定到某个私钥 alias；要替换证书，得用-importcert -alias myserver并确保新证书公钥与原私钥匹配，否则报Failed to establish chain from reply
keytool 和 openssl 在证书操作上的关键差异
很多人试图用 openssl 生成密钥再喂给 keytool，结果失败。根本原因是密钥编码、算法标识、扩展字段处理方式不同。
-
keytool默认生成的私钥是未加密的 PKCS#8（无密码保护），而openssl genrsa默认输出的是传统 SSLeay 格式；导入前必须转：openssl pkcs8 -topk8 -nocrypt -in key.pem -out key.pk8 -
keytool -importcert不接受带密码的私钥文件；如果 openssl 生成时用了-aes256，必须先解密：openssl rsa -in key.pem -out key.decrypted.pem - Java 8u161+ 对 TLS 1.3 支持要求证书含
KeyUsage扩展（如digitalSignature,keyEncipherment），而keytool -genkeypair默认不加；需配合-ext参数：-ext "KeyUsage=digitalSignature,keyEncipherment"
真正麻烦的不是命令记不住，而是 Java 的 keystore 把密钥、证书、信任锚混在一个文件里，且不同版本对格式容忍度不同——JDK 17 运行 keytool 生成的 PKCS12 文件，在 JDK 8 上可能根本打不开。别图省事复用老 keystore，每次新建时明确指定 -storetype PKCS12 和 -keyalg RSA，比事后 debug 强得多。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
