您所在的位置：程序员俱乐部 > 编程开发 > JAVA > KeyTool 工具生成X.509证书

KeyTool 工具生成X.509证书

2014/6/5 15:52:18 314649444 程序员俱乐部我要评论(0)

摘要：KeyTool工具生成X.509证书学习系统过程中看到与其它系统交互用到证书认证，整理网上以及自己学习的一些规则制作出两个版本的证书生成方式主要原理是使用jdk提供的keytool命令实现1命令行1.1生成证书keytool-genkey-aliastomcat-keyalgRSA-keystoree:/tomcat/https/mykey-storepass111111-keypass1111111.2导出证书keytool-export-aliastomcat
标签：KEY 工具

class="p0" style="margin-bottom: 0pt; margin-top: 0pt; text-align: center;">KeyTool?工具生成X.509证书

学习系统过程中看到与其它系统交互用到证书认证，整理网上以及自己学习的一些规则制作出两个版本的证书生成方式?

主要原理是使用jdk提供的?keytool命令实现?

1?命令行

1.1?生成证书

keytool?-genkey?-alias?tomcat?-keyalg?RSA?-keystore?e:/tomcat/https/mykey?-storepass?111111?-keypass?111111

1.2?导出证书

keytool?-export?-alias?tomcat?-storepass?111111??-file??server.cer?-keystore?e:/tomcat/https/mykey

制作windows?批处理脚本如下：

01-GenRSA.cmd?(生成证书)

@echo off
color 3A 
rem 显示工具信息
call 03-initInfo.cmd
rem 定义变量
set "cd=%~dp0"
set "keystoreFile=%cd%\file\demo.jks"
set "validity=30"
set "keysize=1024"
set "alias=test_cert"
set "keyalg=RSA"
set "storepass=storepass" rem 建议去掉此项改为手工录入
set "keypass=keypass"	rem 建议去掉此项改为手工录入
rem 对称加密算法genkey 非对称加密  genkeypair
rem set "gen=-genkeypair"
rem set "gen=-genkey"
rem dname "CN=JsHand,OU=jshand.com CLD,O=jshand.com,L=BJ,ST=BJ,C=CN"
set "dname="CN=JsHand,OU=jshand.com CLD,O=jshand.com,L=BJ,ST=BJ,C=CN""
rem  显示证书信息
call 04-showJksInfo.bat
echo.
echo.
echo.
keytool -genkeypair -validity %validity% -keysize %keysize% -alias %alias% -keyalg %keyalg% -keystore  %keystoreFile%  -storepass %storepass% -keypass %keypass% -v -dname %dname%
echo 按任意键退出程序
pause>nul

02-ExportRSA.cmd?(导出证书)

@echo off
call 03-initInfo.cmd
rem 定义变量
set "cd=%~dp0"  rem 当前目录
set "filedir=%cd%\file"
set "keystoreFile=%filedir%\demo.jks"
set "alias=test_cert"
set "cerFile=%filedir%\demo.cer"
set "storepass=storepass" rem 建议去掉此项改为手工录入
rem 对称加密算法genkey 非对称加密  genkeypair
rem set "gen=-genkeypair"
rem set "gen=-genkey"
rem dname "CN=JsHand,OU=Sinosig CLD,O=Sinosig,L=BJ,ST=BJ,C=CN"
set "dname="CN=JsHand,OU=Sinosig CLD,O=Sinosig,L=BJ,ST=BJ,C=CN""
echo	 ********************************************
echo	 证书信息
echo	 ********************************************
echo	 keystoreFile 文件存储名为：%keystoreFile%
echo	 alias 别名为：%alias%
echo	 storepass 别名密码为：*********
echo 按任意键生成证书
pause>nul
cls
echo.
keytool   -export  -keystore  %keystoreFile%   -alias    %alias%    -file  %cerFile%    -storepass %storepass%  
echo 按任意键退出程序
pause>nul

03-initInfo.cmd?(显示工具信息，无关紧要)

pause
@echo off
rem 设置颜色 纯属为了美观，非必须
color 3A 
echo	 *********************************************
echo	 关于本工具
echo	 *********************************************
echo	 欢迎使用 keytool 证书生成工具
echo	 http://www.jshand.com
echo	 本程序利用java keytool 命令
echo	 需要配置java环境变量，且jdk1.4+
echo 按任意键开始生成...
rem 暂停一下，不要显示不想要的 “请按任意键继续. . .”
pause>nul 
cls

04-showJksInfo.cmd?(生成证书前显示证书信息?非必须)

echo	 ********************************************
echo	 证书信息
echo	 ********************************************
echo	 keystoreFile 文件存储名为：%keystoreFile%
echo	 validity 有效期为：%validity%
echo	 keysize 密钥为：%keysize%
echo	 alias 别名为：%alias%
echo	 keyalg 加密算法为：%keyalg%
echo	 storepass 别名密码为：*********
echo	 keypass 密钥库密码为：*******
echo	 dname 对象为：%dname%
echo 按任意键继续生成
pause>nul
cls

提供精简版??all.cmd?

@echo off
rem 生成证书
keytool -genkeypair -validity 30 -keysize 1024 -alias myalias -keyalg RSA -keystore  demo.jks  -storepass 123456 -keypass 654321 -v -dname "CN=JsHand,OU=jshand.com CLD,O=jshand,L=BJ,ST=BJ,C=CN"
echo.
rem 导出证书 部分参数 需要与上述参数一致
keytool   -export  -keystore   demo.jks   -alias    myalias    -file  demo.cer    -storepass 123456  
echo.
echo 任意键退出
pause>nul

2?使用java代码生成证书

?

2.1调用sun.security.tools.KeyTool类的main方法

public static void main(String[] args) throws Exception
    {

        // 所有变量都是写死的， 可以自己修改
        // 生成证书
        String doscmd = "-genkeypair -validity   30  -keysize    1024    "
                + " -alias  myalias -keyalg RSA -keystore  d:\\demo.jks  -storepass 123456 "
                + " -keypass 654321 -v -dname CN=JsHand,OU=jshand.com,O=jshand,L=BJ,ST=BJ,C=CN";
        String[] paramArrayOfString = doscmd.split("\\s+");
        sun.security.tools.KeyTool.main(paramArrayOfString);

        // 暂停1.5秒 否则没有生成证书 后会导致导出证书也失败
        Thread.sleep(1500);

        // 导出证书
        doscmd = "-export -keystore  d:\\demo.jks    -alias   myalias  -file  d:\\demo.cer    -storepass 123456 ";
        paramArrayOfString = doscmd.split("\\s+");
        sun.security.tools.KeyTool.main(paramArrayOfString);

    }

2.2调用keytool.exe

此处采用网上的实现，即java调用cmd命令后执行keytool，其中有个线程休眠操作，防止生成证书命令未执行完?随即执行导出证书命令,所有参数均写死，可以优化成变量传参的形式。代码如下

import java.io.InputStream;
/**
 * TODO(用一句话描述该文件的作用)
 * 
 * @title: CreateAndExportPKI.java
 * @author zhangjinshan-ghq
 * @date 2014-6-5 下午12:12:37
 */
/**
 * TODO(这里用一句话描述这个类的作用)
 * 
 * @className CreateAndExportPKI
 * @author zhangjinshan-ghq
 * @version V1.0 2014-6-5 下午12:12:37 TODO(如果是修改版本，描述修改内容)
 */
public class CreateAndExportPKI
{
    public static void execDos(String doscmd) throws InterruptedException
    {
        String[] cmd = new String[3];
        cmd[0] = "cmd.exe";
        cmd[1] = "/C";
        cmd[2] = doscmd;
        String executeComd = "cmd.exe " + " /C " + doscmd;
        try
        {
            System.out.println("cmd 命令如下-->" + cmd[2]);
            Runtime runtime = Runtime.getRuntime();
            Process processa = runtime.exec(executeComd);
            InputStream in = processa.getInputStream();
            Thread.sleep(1500);
            // 将cmd显示的内容输出到命令行
            while (in.available() > 0)
            {
                byte[] b = new byte[in.available()];
                in.read(b);
                System.out.println(new String(b, "iso8859-1"));
            }
            in.close();
        }
        catch (java.io.IOException e)
        {
            System.err.println("IOException " + e.getMessage());
        }
    }
    public static void main(String[] args) throws InterruptedException
    {
        // 所有变量都是写死的， 可以自己修改
        // 生成证书
        String doscmd = " keytool   -genkeypair -validity   30  -keysize    1024    "
                + " -alias  myalias -keyalg RSA -keystore  d:\\demo.jks  -storepass 123456 "
                + " -keypass 654321 -v -dname \"CN=JsHand,OU=jshand.com CLD,O=jshand,L=BJ,ST=BJ,C=CN\"";
        execDos(doscmd);
        // 暂停1.5秒 否则没有生成证书 后会导致导出证书也失败
        Thread.sleep(1500);
        // 导出证书
        doscmd = "keytool   -export -keystore  d:\\demo.jks    -alias   myalias  -file  d:\\demo.cer    -storepass 123456 ";
        execDos(doscmd);
    }
}

3?参考

3.1?keytool?具体参数如下（摘自网络，可以百度或者Google）

-genkey      在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书 
-alias       产生别名 
-keystore    指定密钥库的名称(产生的各类信息将不在.keystore文件中 
-keyalg      指定密钥的算法  
-validity    指定创建的证书有效期多少天 
-keysize     指定密钥长度 
-storepass   指定密钥库的密码 
-keypass     指定别名条目的密码 
-dname       指定证书拥有者信息 例如：  "CN=sagely,OU=atr,O=szu,L=sz,ST=gd,C=cn" 
-list        显示密钥库中的证书信息      keytool -list -v -keystore sage -storepass .... 
-v           显示密钥库中的证书详细信息 
-export      将别名指定的证书导出到文件  keytool -export -alias caroot -file caroot.crt 
-file        参数指定导出到文件的文件名 
-delete      删除密钥库中某条目          keytool -delete -alias sage -keystore sage 
-keypasswd   修改密钥库中指定条目口令    keytool -keypasswd -alias sage -keypass .... -new .... -storepass ... -keystore sage 
-import      将已签名数字证书导入密钥库  keytool -import -alias sage -keystore sagely -file sagely.crt 
             导入已签名数字证书用keytool -list -v 以后可以明显发现多了认证链长度，并且把整个CA链全部打印出来。

3.2?命令行中keytool的所有参数

keytool 用法：
-certreq     [-v] [-protected]
             [-alias <别名>] [-sigalg <sigalg>]
             [-file <csr_file>] [-keypass <密钥库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-changealias [-v] [-protected] -alias <别名> -destalias <目标别名>
             [-keypass <密钥库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-delete      [-v] [-protected] -alias <别名>
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-exportcert  [-v] [-rfc] [-protected]
             [-alias <别名>] [-file <认证文件>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-genkeypair  [-v] [-protected]
             [-alias <别名>]
             [-keyalg <keyalg>] [-keysize <密钥大小>]
             [-sigalg <sigalg>] [-dname <dname>]
             [-validity <valDays>] [-keypass <密钥库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-genseckey   [-v] [-protected]
             [-alias <别名>] [-keypass <密钥库口令>]
             [-keyalg <keyalg>] [-keysize <密钥大小>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-help
-importcert  [-v] [-noprompt] [-trustcacerts] [-protected]
             [-alias <别名>]
             [-file <认证文件>] [-keypass <密钥库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-importkeystore [-v]
             [-srckeystore <源密钥库>] [-destkeystore <目标密钥库>]
             [-srcstoretype <源存储类型>] [-deststoretype <目标存储类型>]
             [-srcstorepass <源存储库口令>] [-deststorepass <目标存储库口令>]
             [-srcprotected] [-destprotected]
             [-srcprovidername <源提供方名称>]
             [-destprovidername <目标提供方名称>]
             [-srcalias <源别名> [-destalias <目标别名>]
               [-srckeypass <源密钥库口令>] [-destkeypass <目标密钥库口令>]]
             [-noprompt]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-keypasswd   [-v] [-alias <别名>]
             [-keypass <旧密钥库口令>] [-new <新密钥库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-list        [-v | -rfc] [-protected]
             [-alias <别名>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...
             [-providerpath <路径列表>]
-printcert   [-v] [-file <认证文件>]
-storepasswd [-v] [-new <新存储库口令>]
             [-keystore <密钥库>] [-storepass <存储库口令>]
             [-storetype <存储类型>] [-providername <名称>]
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...