加解密生成 X.509格式，DER编码，后缀名.cer。加密公钥证书

参考

https://bijian1013.iteye.com/blog/2310641 作证书的工具keytool用法总结

https://314649444.iteye.com/blog/2076202

https://www.jianshu.com/p/d304e76270be

https://docs.oracle.com/javase/8/docs/technotes/tools/windows/keytool.html#keytool_option_gencert

理解

关于keyGenerator,KeyPairGenerator,SecretKeyFactory的解析
Java加密的常用的加密算法类型有三种

1单向加密：也就是不可逆的加密，例如MD5,SHA,HMAC

2对称加密：也就是加密方和解密方利用同一个秘钥对数据进行加密和解密，例如DES，PBE等等

3非对称加密：非对称加密分为公钥和秘钥，二者是非对称的，例如用私钥加密的内容需要使用公钥来解密，使用公钥加密的内容需要用私钥来解密，DSA，RSA...

而keyGenerator,KeyPairGenerator,SecretKeyFactory的三种使用方法刚好和这三种加密算法类型对上

keyGenerator：秘钥生成器，也就是更具算法类型随机生成一个秘钥，例如HMAC，所以这个大部分用在非可逆的算法中

SecretKeyFactory：秘密秘钥工厂，言外之意就是需要根据一个秘密（password）去生成一个秘钥,例如DES，PBE，所以大部分使用在对称加密中

KeyPairGenerator:秘钥对生成器，也就是可以生成一对秘钥，也就是公钥和私钥，所以大部分使用在非对称加密中

转

public static void main(String[] args) throws Exception {
        
        byte[] msg = "test!中文".getBytes("UTF8"); // 待加解密的消息
    
        // 用证书的公钥加密
        CertificateFactory cff = CertificateFactory.getInstance("X.509");
        FileInputStream fis1 = new FileInputStream("D:/test/zhongxin.cer"); // 证书文件
        Certificate cf = cff.generateCertificate(fis1);
        PublicKey pk1 = cf.getPublicKey(); // 得到证书文件携带的公钥
        Cipher c1 = Cipher.getInstance("RSA/ECB/PKCS1Padding"); // 定义算法：RSA
        c1.init(Cipher.ENCRYPT_MODE, pk1);
        byte[] msg1 = c1.doFinal(msg); // 加密后的数据
    
        // 用证书的私钥解密 - 该私钥存在生成该证书的密钥库中
        FileInputStream fis2 = new FileInputStream("D:/test/c-abc.keystore");
        KeyStore ks = KeyStore.getInstance("JKS"); // 加载证书库
        char[] kspwd = "123456".toCharArray(); // 证书库密码
        char[] keypwd = "abcd1234".toCharArray(); // 证书密码
        ks.load(fis2, kspwd); // 加载证书
        PrivateKey pk2 = (PrivateKey) ks.getKey("zhongxin", keypwd); // 获取证书私钥
        fis2.close();
        Cipher c2 = Cipher.getInstance("RSA/ECB/PKCS1Padding");
        c2.init(Cipher.DECRYPT_MODE, pk2);
        byte[] msg2 = c2.doFinal(msg1); // 解密后的数据
    
        System.out.println(new String(msg2, "UTF8")); // 将解密数据转为字符串
        String aaa=Base64.getEncoder().encodeToString(pk2.getEncoded());
        System.out.println(aaa);
        PKCS8EncodedKeySpec spec =new PKCS8EncodedKeySpec(Base64.getDecoder().decode(aaa)); 
        PrivateKey priva = KeyFactory.getInstance("RSA").generatePrivate(spec); 
       
        
        Cipher cc2 = Cipher.getInstance("RSA/ECB/PKCS1Padding");
        cc2.init(Cipher.DECRYPT_MODE, priva);
        byte[] msg22 = cc2.doFinal(msg1); // 解密后的数据
    
        System.out.println(new String(msg22, "UTF8")); // 将解密数据转为字符串
        
        //aaa();
    }

一.keytool的概念

keytool 是个密钥和证书管理工具。它使用户能够管理自己的公钥/私钥对及相关证书，用于（通过数字签名）自我认证（用户向别的用户/服务认证自己）或数据完整性以及认证服务。在JDK 1.4以后的版本中都包含了这一工具，它的位置为%JAVA_HOME%inkeytool.exe，如下图所示：

二.keytool的用法

三.创建证书

创建证书主要是使用" -genkeypair"，该命令的可用参数如下：

范例：生成一个名称为test1的证书

Cmd代码  
keytool -genkeypair -alias "test1" -keyalg "RSA" -keystore "test.keystore"  

功能：

创建一个别名为test1的证书，该证书存放在名为test.keystore的密钥库中，若test.keystore密钥库不存在则创建。

参数说明：

-genkeypair：生成一对非对称密钥;

-alias：指定密钥对的别名，该别名是公开的;

-keyalg：指定加密算法，本例中的采用通用的RAS加密算法;

-keystore:密钥库的路径及名称，不指定的话，默认在操作系统的用户目录下生成一个".keystore"的文件

注意：

1.密钥库的密码至少必须6个字符，可以是纯数字或者字母或者数字和字母的组合等等

2."名字与姓氏"应该是输入域名，而不是我们的个人姓名，其他的可以不填

执行完上述命令后，在操作系统的用户目录下生成了一个"test.keystore"的文件，如下图所示：

四.查看密钥库里面的证书

范例：查看test.keystore这个密钥库里面的所有证书

Cmd代码  
keytool -list -keystore test.keystore  

五.导出到证书文件

范例：将名为test.keystore的证书库中别名为test1的证书条目导出到证书文件test.crt中

Cmd代码  
keytool -export -alias test1 -file test.crt -keystore test.keystore  

运行结果：在操作系统的用户目录(gacl)下生成了一个"test.crt"的文件，如下图所示：

六.导入证书

范例：将证书文件test.crt导入到名为test_cacerts的证书库中

Cmd代码  
keytool -import -keystore test_cacerts -file test.crt  

如导入证书报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常，可用文本编辑器打开查看，如是乱码，则应该是“DER 编码二进制 X.509（.CER）(D)”证书，如是字母数字，则应该是"Base64 编码 X.509（.CER）(D)”证书。

在这我用文本编辑器打开报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常的证书，是乱码的，应该是“DER 编码二进制 X.509（.CER）(D)”证书，于是再通过双击打开导出"Base64 编码 X.509（.CER）(D)”文件格式的证书，具体步骤如下：

单选"Base64 编码 X.509（.CER）(D)”格式

点“完成”弹出导出成功提示框即OK，用文本编辑器打开导出的证书，可以看到不是乱码的（由字母和数字组成）。

再用keytool -export -alias test1 -file test.cer -keystore test.keystore导入证书，不报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常。

七.查看证书信息

范例：查看证书文件test.crt的信息

Cmd代码  
keytool -printcert -file "test.crt"  

八.删除密钥库中的条目

范例：删除密钥库test.keystore中别名为test1的证书条目

Cmd代码  
keytool -delete -keystore test.keystore -alias test1  

九.修改证书条目的口令

范例：将密钥库test.keystore中别名为test2的证书条目的密码修改为xdp123456

Cmd代码  
keytool -keypasswd -alias test2 -keystore test.keystore  

十.实战命令

1.生成私钥

Cmd代码  
keytool -genkey -alias aliasName -keyalg RSA -keysize 1024 -keypass 112233 -validity 1095 -keystore test1.ks -storepass 123456  

2.根据生成的私钥导出公钥

Cmd代码  
keytool -export -alias aliasName -keystore test1.ks -file test1.cer -storepass 123456  

3.查看证书

Cmd代码  
keytool -printcert -file /data/test1.cer  

4.导入公钥证书

Cmd代码  
keytool -import -file /data/test1.cer -keystore cacerts -alias server  

5.查看密钥库里面的证书

a.查看所有证书

Cmd代码  
keytool -list -keystore cacerts  

b.查看别名是server的证书

Cmd代码  
keytool -list -keystore cacerts | grep server  

c.根据证书的内容查看证书

Cmd代码  
keytool -list -keystore cacerts | grep D0:DB:9A:68:FE:AE:2B:EE:84:8B:5B:D0:AD:D5:83:DA:D4:31:A1:6F  

Windows下：

Java代码  
keytool -list -keystore D:softwareJavajdk1.7.0_51jrelibsecuritycacerts  
或者  
keytool -list -keystore D:softwareJavajdk1.7.0_51jrelibsecuritycacerts | findstr /i server  
或者  
keytool -list -keystore D:softwareJavajdk1.7.0_51jrelibsecuritycacerts | findstr /i entrust  

输入密钥库口令: changeit

Text代码  
entrustevca, 2010-4-24, trustedCertEntry,  
entrustrootcag2, 2010-6-23, trustedCertEntry,  
entrust2048ca, 2010-6-23, trustedCertEntry,  
entrustsslca, 2003-1-9, trustedCertEntry,  

6.删除密钥库中的条目

Cmd代码  
keytool -delete -keystore cacerts equifaxsecureca  

加解密 生成 X.509格式，DER编码，后缀名.cer。加密公钥证书

加解密生成 X.509格式，DER编码，后缀名.cer。加密公钥证书