KeyStore是Java标准安全容器，专用于存储私钥、密钥对和数字证书；支持PrivateKeyEntry（私钥+证书链）、SecretKeyEntry（对称密钥）、TrustedCertificateEntry（可信证书）三类条目；常用格式含PKCS12（跨平台首选）、JKS（Java原生，JDK9+不推荐）、AndroidKeyStore（硬件绑定）；采用双密码机制：storepass保护整个密钥库，key password保护单个私钥；每个条目通过唯一大小写敏感的alias标识。
KeyStore 是 Java 提供的标准安全容器，专门用于存储私钥、密钥对和数字证书，不是普通变量仓库，也不存“安全变量”——它管理的是加密实体，比如用于 HTTPS 的服务器私钥、签发 JWT 的 RSA 密钥、Android 应用签名密钥等。
KeyStore 存什么？不是所有东西都能放
它支持三类核心条目（entry），每种用途明确：
- PrivateKeyEntry：存放私钥 + 对应的公钥证书链。这是最常用类型，比如 SSL 服务端密钥、APK 签名密钥。
- SecretKeyEntry：存放对称密钥（如 AES 密钥），用于加密敏感数据，不涉及证书。
- TrustedCertificateEntry：只存受信任的公钥证书（如 CA 根证书），常用于 truststore 场景，不能存私钥。
常见格式与使用场景
不同格式适配不同环境，选错可能无法跨平台或被新 JDK 拒绝：
- JKS：Java 原生格式，JDK 8 及之前默认；JDK 9+ 已不推荐，仅限内部 Java 应用使用。
- PKCS12（.p12/.pfx）：行业标准，支持私钥+证书链+密码保护，HTTPS 部署、浏览器导入、现代 Spring Boot 项目首选。
- AndroidKeyStore：系统级硬件绑定密钥库，密钥不可导出，专为 Android App 安全操作设计（如指纹登录加密）。
密码不是一层，而是两层保护
KeyStore 文件本身有 storepass（密钥库密码），用于打开整个文件；每个私钥条目还有独立的 key password（密钥密码），用于解密该私钥。两者可相同，但建议分离——即使 storepass 泄露，私钥仍受第二道防护。
例如用 keytool 创建时：
keytool -genkeypair -alias myapp -keyalg RSA -keystore app.p12 -storetype PKCS12执行中会分别提示输入 “Enter keystore password” 和 “Enter key password for <myapp>”。
别名（alias）是访问密钥的唯一钥匙
每个条目靠 alias 区分，大小写敏感，且不可重复。实际调用时，代码里必须用完全一致的 alias 才能取出对应私钥或证书：
- Spring Boot 配置 HTTPS：
server.ssl.key-alias=myapp - Java 代码加载：
ks.getKey("myapp", "keypass".toCharArray()) - AndroidKeyStore 中 alias 还决定密钥是否绑定到特定用户或生物特征。
