各种证书生成和转换

生成私钥：

openssl genrsa -out rsa_private_key.pem 1024

根据私钥生成公钥签名证书

openssl req -new -x509 -days 3650 -key rsa_private_key.pem -out ppmoney_key.crt

keytool -exportcert -rfc -alias jetty -file ppmoneykey.crt -keystore jetty.jks

公钥证书导入keystore

keytool -importcert -file ppmoney_key.crt -alias ppmoney -keystore smx.jks

查看公钥：

openssl x509 -in public.crt -pubkey -out public.crt

1.创建rsa密钥对(公钥和私钥)并储存在keystore文件中:

keytool -genkeypair -keyalg RSA -keystore keystore.jks

2.从keystore文件中导出使用x509标准验证的数字证书，包含公钥。

keytool -exportcert -file cert.cer -keystore keystore.jks

keytool没有提供从keystore文件导出私钥的工具，需要编程实现此功能。

从keystore文件导出的证书、密钥都是DER格式，可以使用openssl工具转换成PEM格式。

openssl是一套强大的工具集，包含各种加解密算法，信息摘要及签名算法，密钥和证书管理等。

openssl使用的默认数据格式是PEM格式，也支持DER格式，可以进行互相转换。

1.genrsa命令用于创建私钥 

openssl genrsa -out private.key

若需要对私钥加密，可以使用 -des -des3等参数。

2.rsa命令用于对密钥管理,格式转换

使用私钥创建对应的公钥

openssl rsa -in private.key -out public.key -pubout

将DER格式公钥转换为PEM格式

openssl rsa -in public.key.der -inform der -pubin -outform pem -out public.key

3.x509命令用于管理x509标准的证书

将DER格式证书转换成PEM格式

openssl x509 -in cert.cer -inform der -outform PEM -out cert.crt

从证书中导出公钥

openssl x509 -in cert.crt -pubkey -out public.key

4.pkcs8，pkcs12命令用于管理私钥的pkcs编解码

将密钥使用pkcs8加密

openssl pkcs8 -in private.key  -nocrypt -topk8 -outform DER -out private.p8

将pkcs8密钥解密

openssl pkcs8 -in decrypted.p8 -nocrypt

在Java中，根据JSSE的规范，证书需要先导入到truststore／keystore文件，才能被Java识别和使用。

步骤为：

## 1.1 openapi根证书（root ca）到truststore

```

keytool -import -keystore truststore.jks -file path/to/yingmi-openapi-root-ca.crt -alias yingmica

```

命令行会提示输入一个truststore的密码。请记下这个密码，下面配置会用到。

命令行还会提示“是否要信任该证书”，输入“Y”，并回车确认。

成功后，该命令会产生一个名称为"truststore.jks"的文件。

## 1.2 导入客户端证书到keystore

keystore不直接支持导入crt/key文件。所以首先先用openssl命令将证书转换为pkcs12格式的文件。p12文件可以同时包括证书和秘钥。

```

openssl pkcs12 -export -in openapi-test-cert-foo.crt -inkey openapi-test-cert-foo.key > foo.p12

```

此时会提示指定导出的p12文件密码。请记下这个密码，下一步会用到。

然后导入到keystore文件中

```

keytool -importkeystore -destkeystore keystore.jks -srckeystore foo.p12 -srcstoretype pkcs12

```

这步首先会要求你指定产生的keystore的密码。请记下这个密码，下面配置会用到。

然后会要求你输入上一步指定的p12文件的密码，请输入之。

**注意**，本样例代码假设你的p12密码与keystore密码相同。