如何用Java Keytool生成自签名SSL证书？

更新时间：2026-02-27 来源：TopSSL技术团队

如何用 Java Keytool 生成自签名 SSL 证书？

使用 Java 自带的 Keytool 工具生成自签名 SSL 证书，主要通过执行 keytool -genkeypair 命令生成包含私钥和自签名公钥证书的密钥库文件（如 JKS 或 PKCS12）。Keytool 是 JDK/JRE 自带的密钥与证书管理工具，适合开发测试、本地环境调试以及内网系统的 HTTPS 签名配置。

使用 Keytool 生成自签名证书步骤

执行生成的全过程通常包含创建密钥库、导出证书文件以及在应用中导入信任三个阶段。

1. 生成密钥对与自签名证书库

打开命令行终端（CMD、Shell 或 PowerShell），执行以下命令生成自签名证书并存入密钥库：

Bash

keytool -genkeypair \
  -alias mydomain \
  -keyalg RSA \
  -keysize 2048 \
  -validity 3650 \
  -keystore keystore.p12 \
  -storetype PKCS12 \
  -ext SAN=dns:localhost,dns:mydomain.com,ip:127.0.0.1

关键参数说明：

-alias：密钥库中该证书的别名（如 mydomain）。
-keyalg：加密算法，推荐使用 RSA 或 EC。
-keysize：密钥长度，RSA 算法建议设为 2048 或 4096。
-validity：证书有效天数（如 3650 表示 10 年）。
-keystore：生成的密钥库文件名（如 keystore.p12）。
-storetype：密钥库格式，建议指定为现代标准的 PKCS12（替代旧版的 JKS）。
-ext SAN：**必填（防浏览器拦截）**，指定主体备用名称（Subject Alternative Name），包含访问所需的域名或 IP。

命令执行后，系统会提示输入密钥库密码，并依次填写姓名/组织等信息（或直接在命令行追加 -dname "CN=localhost, OU=Dev, O=Company, L=City, ST=State, C=CN" 跳过交互）。

2. 从密钥库导出公钥证书（.cer / .crt）

如果客户端或前端系统（如 Java 客户端、浏览器）需要信任该自签名证书，可将公钥证书文件导出：

Bash

keytool -exportcert \
  -alias mydomain \
  -keystore keystore.p12 \
  -storetype PKCS12 \
  -file mydomain.crt \
  -rfc

参数说明：

-file：导出的证书文件名。
-rfc：以 Base64 编码（PEM 格式）输出，方便文本查看和跨平台导入。

3. 将证书导入客户端信任库（Truststore）

在 Java 客户端程序访问该自签名 HTTPS 服务时，需将导出的 .crt 证书导入 Java 运行环境的信任库（cacerts）中：

Bash

keytool -importcert \
  -alias mydomain \
  -file mydomain.crt \
  -keystore "%JAVA_HOME%\jre\lib\security\cacerts" \
  -storepass changeit

如果不清楚数字证书的具体加密与验证原理，可以查阅 SSL/TLS证书基础知识了解公钥体系。

Keytool 自签名证书与生产环境商业证书的区别

自签名证书无需向权威 CA 机构付费，但在实际应用中与公网商业证书存在本质不同：

评估项目	Keytool 自签名证书	商业 SSL 证书（DV/OV/EV）
信任来源	由本地自行签发，不受操作系统/浏览器信任	由权威 CA 根证书链背书，全球原生信任
客户端提示	浏览器直接拦截并警告“非安全连接”	正常显示安全小锁，无风险弹框提示
真实身份核验	无第三方身份核验机制	包含域名控制权核验（DV）或企业身份核验（OV/EV）
适用场景	本地开发、微服务内部通讯、测试环境	公网 Web 网站、移动 App 接口、金融与电商系统