如何以编程方式从 pkcs12 文件中导出公钥

Question

我在尝试导出 pkcs12 文件中包含的公钥时遇到问题。我想要达到的结果与使用此命令的结果相同（但以编程方式）：

keytool -export -alias mycertalias -keystore mykeystore.jks -rfc -file mypublickey.pem 

我获得了公钥并使用 BouncyCastle 生成了一个字符串，但是获得的结果与我使用上面的命令获得的结果不匹配。这是我的代码：

KeyStore keyStore = KeyStore.getInstance("pkcs12");
keyStore.load(new FileInputStream(certPath),certPassword.toCharArray());
String alias = "mycertalias";
Certificate cert = keyStore.getCertificate(alias);

PublicKey publicKey = cert.getPublicKey();   
StringWriter writer = new StringWriter();
PemWriter pemWriter = new PemWriter(writer);
pemWriter.writeObject(new PemObject("CERTIFICATE", publicKey.getEncoded()));
pemWriter.flush();
pemWriter.close();

System.out.println(writer.toString());

我尝试过不使用 BouncyCastle 并直接对字符串进行编码，但我得到的结果与以前相同（因此它与使用 keytool 命令获得的结果也不匹配）：

Certificate cert = keyStore.getCertificate(alias);
BASE64Encoder encoder = new BASE64Encoder();
PublicKey publicKey = cert.getPublicKey();
System.out.println(new String(encoder.encode(publicKey.getEncoded())));

知道我做错了什么吗？提前感谢您的帮助。

更新：

正如@dave_thompson_085 所建议的那样，我真正想要的是以 PEM 格式导出整个证书，所以有效代码是这样的：

//...
Certificate cert = keyStore.getCertificate(alias);
StringWriter writer = new StringWriter();
PemWriter pemWriter = new PemWriter(writer);
pemWriter.writeObject(new PemObject("CERTIFICATE", cert.getEncoded()));
//...

谢谢！

Answer 1

您的 keytool 示例执行 JKS 而不是 P12，但添加 -storetype pkcs12 会执行 P12，所以我假设这就是您的意思。更重要的是，keytool -exportcert（在大约 1.5 版本中正式取代了 -export）导出整个证书，而不仅仅是公钥。指定 -rfc 以 PEM 格式执行，并省略 -rfc以 DER 格式进行，但无论哪种方式，它都是整个证书。

您的第二个代码也不应该产生相同的结果；它应该产生，也许是模换行符，与 PEM 格式的 body 相同，但没有虚线 BEGIN 和 END 行。 BEGIN 和 END 行是 PEM 格式的一部分，没有它们就不是 PEM。如果没有说明 正确 类型的内容，你没有说明，它不是正确的 PEM。

如果您真的只想要公钥，您可以这样做，但不要期望它与证书相同，因为公钥不是证书。请注意，很少有应用程序可以在没有证书中其他数据的情况下单独使用公钥；唯一想到的是 SSH（据说可以手动确认身份和有效性），OpenSSH 不使用 Java JCE 支持的基于 ASN1 的“X509”（实际上是 SPKI）编码，而是使用它自己的基于 base64-MPI 的编码编码。