KeyTool 工具生成X.509证书
学习系统过程中看到与其它系统交互用到证书认证，整理网上以及自己学习的一些规则制作出两个版本的证书生成方式
主要原理是使用jdk提供的 keytool命令实现
1 命令行
1.1 生成证书
keytool -genkey -alias tomcat -keyalg RSA -keystore e:/tomcat/https/mykey -storepass 111111 -keypass 111111
1.2 导出证书
keytool -export -alias tomcat -storepass 111111 -file server.cer -keystore e:/tomcat/https/mykey
制作windows 批处理脚本如下：
01-GenRSA.cmd (生成证书)
@echo off color 3A rem 显示工具信息 call 03-initInfo.cmd rem 定义变量 set "cd=%~dp0" set "keystoreFile=%cd%\file\demo.jks" set "validity=30" set "keysize=1024" set "alias=test_cert" set "keyalg=RSA" set "storepass=storepass" rem 建议去掉此项改为手工录入 set "keypass=keypass" rem 建议去掉此项改为手工录入 rem 对称加密算法genkey 非对称加密 genkeypair rem set "gen=-genkeypair" rem set "gen=-genkey" rem dname "CN=JsHand,OU=jshand.com CLD,O=jshand.com,L=BJ,ST=BJ,C=CN" set "dname="CN=JsHand,OU=jshand.com CLD,O=jshand.com,L=BJ,ST=BJ,C=CN"" rem 显示证书信息 call 04-showJksInfo.bat echo. echo. echo. keytool -genkeypair -validity %validity% -keysize %keysize% -alias %alias% -keyalg %keyalg% -keystore %keystoreFile% -storepass %storepass% -keypass %keypass% -v -dname %dname% echo 按任意键退出程序 pause>nul
02-ExportRSA.cmd (导出证书)
@echo off call 03-initInfo.cmd rem 定义变量 set "cd=%~dp0" rem 当前目录 set "filedir=%cd%\file" set "keystoreFile=%filedir%\demo.jks" set "alias=test_cert" set "cerFile=%filedir%\demo.cer" set "storepass=storepass" rem 建议去掉此项改为手工录入 rem 对称加密算法genkey 非对称加密 genkeypair rem set "gen=-genkeypair" rem set "gen=-genkey" rem dname "CN=JsHand,OU=Sinosig CLD,O=Sinosig,L=BJ,ST=BJ,C=CN" set "dname="CN=JsHand,OU=Sinosig CLD,O=Sinosig,L=BJ,ST=BJ,C=CN"" echo ******************************************** echo 证书信息 echo ******************************************** echo keystoreFile 文件存储名为：%keystoreFile% echo alias 别名为：%alias% echo storepass 别名密码为：********* echo 按任意键生成证书 pause>nul cls echo. keytool -export -keystore %keystoreFile% -alias %alias% -file %cerFile% -storepass %storepass% echo 按任意键退出程序 pause>nul
03-initInfo.cmd (显示工具信息，无关紧要)
pause @echo off rem 设置颜色 纯属为了美观，非必须 color 3A echo ********************************************* echo 关于本工具 echo ********************************************* echo 欢迎使用 keytool 证书生成工具 echo http://www.jshand.com echo 本程序利用java keytool 命令 echo 需要配置java环境变量，且jdk1.4+ echo 按任意键开始生成... rem 暂停一下，不要显示不想要的 “请按任意键继续. . .” pause>nul cls
04-showJksInfo.cmd (生成证书前显示证书信息 非必须)
echo ******************************************** echo 证书信息 echo ******************************************** echo keystoreFile 文件存储名为：%keystoreFile% echo validity 有效期为：%validity% echo keysize 密钥为：%keysize% echo alias 别名为：%alias% echo keyalg 加密算法为：%keyalg% echo storepass 别名密码为：********* echo keypass 密钥库密码为：******* echo dname 对象为：%dname% echo 按任意键继续生成 pause>nul cls
提供精简版 all.cmd
@echo off rem 生成证书 keytool -genkeypair -validity 30 -keysize 1024 -alias myalias -keyalg RSA -keystore demo.jks -storepass 123456 -keypass 654321 -v -dname "CN=JsHand,OU=jshand.com CLD,O=jshand,L=BJ,ST=BJ,C=CN" echo. rem 导出证书 部分参数 需要与上述参数一致 keytool -export -keystore demo.jks -alias myalias -file demo.cer -storepass 123456 echo. echo 任意键退出 pause>nul
2 使用java代码生成证书
2.1调用sun.security.tools.KeyTool类的main方法
public static void main(String[] args) throws Exception
{
// 所有变量都是写死的， 可以自己修改
// 生成证书
String doscmd = "-genkeypair -validity 30 -keysize 1024 "
+ " -alias myalias -keyalg RSA -keystore d:\\demo.jks -storepass 123456 "
+ " -keypass 654321 -v -dname CN=JsHand,OU=jshand.com,O=jshand,L=BJ,ST=BJ,C=CN";
String[] paramArrayOfString = doscmd.split("\\s+");
sun.security.tools.KeyTool.main(paramArrayOfString);
// 暂停1.5秒 否则没有生成证书 后会导致导出证书也失败
Thread.sleep(1500);
// 导出证书
doscmd = "-export -keystore d:\\demo.jks -alias myalias -file d:\\demo.cer -storepass 123456 ";
paramArrayOfString = doscmd.split("\\s+");
sun.security.tools.KeyTool.main(paramArrayOfString);
}
2.2调用keytool.exe
此处采用网上的实现，即java调用cmd命令后执行keytool，其中有个线程休眠操作，防止生成证书命令未执行完 随即执行导出证书命令,所有参数均写死，可以优化成变量传参的形式。代码如下
import java.io.InputStream;
/**
* TODO(用一句话描述该文件的作用)
*
* @title: CreateAndExportPKI.java
* @author zhangjinshan-ghq
* @date 2014-6-5 下午12:12:37
*/
/**
* TODO(这里用一句话描述这个类的作用)
*
* @className CreateAndExportPKI
* @author zhangjinshan-ghq
* @version V1.0 2014-6-5 下午12:12:37 TODO(如果是修改版本，描述修改内容)
*/
public class CreateAndExportPKI
{
public static void execDos(String doscmd) throws InterruptedException
{
String[] cmd = new String[3];
cmd[0] = "cmd.exe";
cmd[1] = "/C";
cmd[2] = doscmd;
String executeComd = "cmd.exe " + " /C " + doscmd;
try
{
System.out.println("cmd 命令如下-->" + cmd[2]);
Runtime runtime = Runtime.getRuntime();
Process processa = runtime.exec(executeComd);
InputStream in = processa.getInputStream();
Thread.sleep(1500);
// 将cmd显示的内容输出到命令行
while (in.available() > 0)
{
byte[] b = new byte[in.available()];
in.read(b);
System.out.println(new String(b, "iso8859-1"));
}
in.close();
}
catch (java.io.IOException e)
{
System.err.println("IOException " + e.getMessage());
}
}
public static void main(String[] args) throws InterruptedException
{
// 所有变量都是写死的， 可以自己修改
// 生成证书
String doscmd = " keytool -genkeypair -validity 30 -keysize 1024 "
+ " -alias myalias -keyalg RSA -keystore d:\\demo.jks -storepass 123456 "
+ " -keypass 654321 -v -dname \"CN=JsHand,OU=jshand.com CLD,O=jshand,L=BJ,ST=BJ,C=CN\"";
execDos(doscmd);
// 暂停1.5秒 否则没有生成证书 后会导致导出证书也失败
Thread.sleep(1500);
// 导出证书
doscmd = "keytool -export -keystore d:\\demo.jks -alias myalias -file d:\\demo.cer -storepass 123456 ";
execDos(doscmd);
}
}
3 参考
3.1 keytool 具体参数如下（摘自网络，可以百度或者Google）
-genkey 在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书
-alias 产生别名
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中
-keyalg 指定密钥的算法
-validity 指定创建的证书有效期多少天
-keysize 指定密钥长度
-storepass 指定密钥库的密码
-keypass 指定别名条目的密码
-dname 指定证书拥有者信息 例如： "CN=sagely,OU=atr,O=szu,L=sz,ST=gd,C=cn"
-list 显示密钥库中的证书信息 keytool -list -v -keystore sage -storepass ....
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias caroot -file caroot.crt
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias sage -keystore sage
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias sage -keypass .... -new .... -storepass ... -keystore sage
-import 将已签名数字证书导入密钥库 keytool -import -alias sage -keystore sagely -file sagely.crt
导入已签名数字证书用keytool -list -v 以后可以明显发现多了认证链长度，并且把整个CA链全部打印出来。
3.2 命令行中keytool的所有参数
keytool 用法：
-certreq [-v] [-protected]
[-alias <别名>] [-sigalg <sigalg>]
[-file <csr_file>] [-keypass <密钥库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-changealias [-v] [-protected] -alias <别名> -destalias <目标别名>
[-keypass <密钥库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-delete [-v] [-protected] -alias <别名>
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-exportcert [-v] [-rfc] [-protected]
[-alias <别名>] [-file <认证文件>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-genkeypair [-v] [-protected]
[-alias <别名>]
[-keyalg <keyalg>] [-keysize <密钥大小>]
[-sigalg <sigalg>] [-dname <dname>]
[-validity <valDays>] [-keypass <密钥库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-genseckey [-v] [-protected]
[-alias <别名>] [-keypass <密钥库口令>]
[-keyalg <keyalg>] [-keysize <密钥大小>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-help
-importcert [-v] [-noprompt] [-trustcacerts] [-protected]
[-alias <别名>]
[-file <认证文件>] [-keypass <密钥库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-importkeystore [-v]
[-srckeystore <源密钥库>] [-destkeystore <目标密钥库>]
[-srcstoretype <源存储类型>] [-deststoretype <目标存储类型>]
[-srcstorepass <源存储库口令>] [-deststorepass <目标存储库口令>]
[-srcprotected] [-destprotected]
[-srcprovidername <源提供方名称>]
[-destprovidername <目标提供方名称>]
[-srcalias <源别名> [-destalias <目标别名>]
[-srckeypass <源密钥库口令>] [-destkeypass <目标密钥库口令>]]
[-noprompt]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-keypasswd [-v] [-alias <别名>]
[-keypass <旧密钥库口令>] [-new <新密钥库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-list [-v | -rfc] [-protected]
[-alias <别名>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
[-providerpath <路径列表>]
-printcert [-v] [-file <认证文件>]
-storepasswd [-v] [-new <新存储库口令>]
[-keystore <密钥库>] [-storepass <存储库口令>]
[-storetype <存储类型>] [-providername <名称>]
[-providerclass <提供方类名称> [-providerarg <参数>]] ...
3.4 bat 获取当期路径
http://blog.csdn.net/guomao545/article/details/6417667
3.5 java命令keytool 中的参数
http://woainishijin456.blog.163.com/blog/static/9893862620124153220890/