距离上一次更新该文章已经过了 740 天，文章所描述的內容可能已经发生变化，请留意。

任何机构或者个人都可以申请数字证书，并使用由CA机构颁发的数字证书为自己的应用保驾护航。常用的两个证书管理工具：KeyTool，OpenSSL--->构建CSR（Certificate Signing Request，数字证书签发申请），交由CA机构签发，形成最终的数字证书。 最近用到p12文件，就记录一下如何使用jdk自带的keytool来创建p12文件

打开cmd，切换到jdk的bin目录下

  1. 输入命令
plaintext
1
keytool -genkeypair -alias serverkey -keyalg RSA -keysize 2048 -validity 3650 -keystore D:\rabbitmq\tls-gen-master\p12test.keystore

参数解释：

plaintext
1
2
3
4
5
6
7
8
storepass: keystore文件存储密码，不加这个参数会在后面要求你输入密码 
keypass 私钥加解密密码 
alias 实体别名(包括证书私钥) 
dname 证书个人信息 
keyalg 采用公钥算法，默认是DSA，这里采用RSA 
keysize 密钥长度(DSA算法对应的默认算法是sha1withDSA，不支持2048长度，此时需指定RSA) 
validity 有效期 
keystore 指定keystore文件储存位置
  1. 命令行会要求你输入一些信息，这里只是试用，随意输一些就可以了
plaintext
1
2
3
4
Whatisyour firstandlastname?
[Unknown]:  xu
What is the name of your organizational unit?
...

  1. 最后, 输入的密钥口令，这里因为我们在上面设置了一个密钥库的口令，因此这里的口令如果和上面设置的口令一样的话，就直接回车就好，如果两个口令不一样，那么我们可以输入新的口令，回车

  2. 经过上述操作，秘钥库中已经创建了数字证书（没有经过CA认证），但不影响我们使用。我们可以将数字证书导出，发送给合作伙伴进行加密交互。

查看keystore详情

  1. 输入命令
    plaintext
    1
    keytool -v -list -keystore D:\rabbitmq\tls-gen-master\p12test.keystore
    可以看到keystore详情：

    Keystoretype:jksKeystoreprovider:SUNYour keystore contains1entryAliasname:serverkeyCreationdate:Sep18,2018Entrytype:PrivateKeyEntryCertificate chainlength:1Certificate[1]:Owner:CN=xu, OU=SAP, O=SAP, L=ShangHai, ST=ShangHai, C=CNIssuer:CN=xu, OU=SAP, O=SAP, L=ShangHai, ST=ShangHai, C=CNSerialnumber:68a01736Validfrom:Tue Sep1815:29:16CST2018until:Fri Sep1515:29:16CST2028Certificatefingerprints: MD5:6D:02:83:77:1D:8F:80:4A:7E:71:10:E5:D1:F7:DA:A1 SHA1:50:A7:46:DE:BC:9E:0E:22:AC:AD:85:63:3D:29:FB:FF:75:66:55:3E SHA256:78:C4:65:71:A2:54:2B:56:2E:7B:8F:16:7D:EB:53:46:4E:9C:0C:AF:55:F8:3E:0C:37:FC:CD:A6:8C:04:9E:84Signature algorithmname:SHA256withRSASubject Public KeyAlgorithm:2048-bit RSA keyVersion:3......

导出本地证书(.cer)

  1. 输入命令
    plaintext
    1
    keytool -exportcert -keystore  D:\rabbitmq\tls-gen-master\p12test.keystore -file D:\rabbitmq\tls-gen-master\p12test.cer -alias serverkey
    参数解释： -export 表示证书导出操作 -keystore 指定秘钥库文件 -file 指定导出文件路径 -storepass 输入密码 -rfc 指定以Base64编码格式输出

打印数字证书

  1. 输入命令
    plaintext
    1
    keytool -printcert -file D:\rabbitmq\tls-gen-master\p12test.cer

将.cer格式的证书转换为p12证书

  1. 输入命令
    plaintext
    1
    keytool -importkeystore -srckeystore D:\rabbitmq\tls-gen-master\p12test.keystore -destkeystore D:\rabbitmq\tls-gen-master\p12test.p12 -srcalias serverkey -destalias serverkey -srcstoretype jks -deststoretype pkcs12 -noprompt
    2.输入目标密钥库口令和源密钥库口令即可（目标密钥库口令指的是我们要为.p12证书设置的口令，而源密钥库口令则指的是我们最初为.cer证书设置的密钥库口令）

P12的两个命令：

  • 生成证书：
    plaintext
    1
    keytool -genkey -v -alias client -keyalg RSA -storetype PKCS12 -keystore D:\rabbitmq\tls-gen-master\p12test.p12
  • 导出证书：
    plaintext
    1
    keytool -export -alias client -keystore  D:\rabbitmq\tls-gen-master\p12test.p12 -storetype PKCS12 -storepass a943915349 -rfc -file D:\rabbitmq\tls-gen-master\p12test.cer