crypto.subtle.importkey导入失败主因是密钥格式、算法名称或usages三者不匹配：密钥须为arraybuffer（非pem/base64）、算法名须与密钥类型严格对应（如aes-gcm不能用于rsa）、usages必须包含后续实际操作（如encrypt/decrypt）。
crypto.subtle.importKey 为什么导入失败？常见错误现象
导入外部密钥时最常遇到的是 DOMException: The provided key is invalid 或 DOMException: The requested operation is not valid for the provided key type。根本原因不是密钥内容本身错，而是格式、算法、或密钥用法（usages）三者不匹配。
- 密钥必须是原始字节（
ArrayBuffer），不能是 Base64 字符串或 PEM 格式文本 - 算法对象中的
name必须与密钥类型严格对应（比如"AES-GCM"不能用于导入 RSA 私钥） -
usages列表必须包含你后续实际要调用的操作（如"encrypt"、"decrypt"、"wrapKey"），少一个就报错
如何把 PEM 或 Base64 密钥转成 ArrayBuffer？
浏览器的 crypto.subtle.importKey 只接受二进制数据，所以 PEM（带 -----BEGIN PRIVATE KEY-----）或 Base64 编码的密钥必须先解码并剥离头尾。
- 对于 PKCS#8 私钥（PEM）：用正则去掉头尾和换行，再用
atob()解码，最后转为Uint8Array - 对于 JWK 或 Base64 密钥（如 AES 密钥）：直接
atob()+Uint8Array.from(...) - 注意：PEM 中的换行符可能是
\r\n，建议用.replace(/[\r\n]/g, '')清理
const pem = `-----BEGIN PRIVATE KEY----- MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQD...`; const base64 = pem .replace(/-----[A-Z\s]+-----/g, '') .replace(/[\r\n]/g, ''); const keyData = Uint8Array.from(atob(base64), c => c.charCodeAt(0));
AES 密钥导入示例：算法、格式、usages 怎么配？
AES 密钥（对称）通常以原始字节提供，导入时用 "raw" 格式，算法名必须是具体 AES 模式（如 "AES-GCM"），且 usages 要和后续操作一致：
- 导入后只用来加密 →
usages: ["encrypt"] - 同时加密+解密 →
usages: ["encrypt", "decrypt"] - 若后续还要导出（
exportKey），需额外加"unwrapKey"或"exportKey"
const aesKey = new Uint8Array([/* 32 bytes for AES-256 */]);
crypto.subtle.importKey(
"raw",
aesKey,
{ name: "AES-GCM" },
true, // extractable
["encrypt", "decrypt"]
);
RSA 私钥导入踩坑点：PKCS#8 vs SPKI、extractable 设为 false 的后果
RSA 私钥必须用 "pkcs8" 格式导入（公钥才用 "spki"）。如果误传 "spki"，会报“invalid key”；如果密钥是未加密的 PKCS#8，但用了密码保护字段，也会失败。
-
extractable: false是默认安全策略，但一旦设为false，后续无法用exportKey获取原始密钥 —— 即使你有权限，API 也会静默拒绝 - 如果服务端返回的是加密的 PKCS#8（含
Proc-Type: 4,ENCRYPTED），浏览器原生不支持解密，必须先在服务端解密再传明文
密钥导入不是“贴进去就能用”，关键在三件事对齐：字节来源是否干净、算法名是否精确匹配密钥结构、usages 是否覆盖真实调用链。尤其注意 PEM 处理时的换行和 Base64 填充字符（=）遗漏，这种细节错一点，整个 importKey 就静默失败。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
