InvalidKeyException本质是密钥类型、长度、格式或环境策略不匹配导致的运行时异常；需在Cipher.init()前校验密钥算法、字节长度、编码格式，并确认JCE策略是否启用无限强度加密。
InvalidKeyException不是配置错误，而是密钥本身或使用方式出了问题。它不报在编译期，只在运行时触发，往往一出现就导致核心加密流程中断——比如支付签名失败、Token解密崩溃、API鉴权拒绝。关键不在“怎么捕获”，而在“怎么提前挡住”。
确认密钥类型是否匹配算法
把RSA私钥塞进AES加密器，就像拿U盘当螺丝刀——物理形态存在，但根本不适配。Java会在Cipher.init()时直接拒绝。
- 对称加密（AES、DES）必须用
SecretKey，不能是PublicKey或PrivateKey - RSA加解密必须区分公私钥：
PublicKey用于加密和验签，PrivateKey用于解密和签名 - 检查代码中是否混用了密钥：比如从KeyStore加载的密钥类型与算法声明不一致
验证密钥长度是否合规
AES支持128/192/256位，对应16/24/32字节；DES固定56位有效（64位含校验位）；RSA建议≥2048位。长度错一位，就会抛异常。
deep-java-review
下载
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
- 生成密钥时明确指定长度：
keyGen.init(256)，而不是依赖默认值 - 手动构造
SecretKeySpec前，先校验字节数：if (keyBytes.length != 16 && keyBytes.length != 24 && keyBytes.length != 32) - 注意JDK版本限制：Java 8u151之前需安装无限制策略文件才能用256位AES；Java 9+已默认放开
检查密钥格式与编码是否损坏
Base64解码后少了字符、Hex字符串含非法字母、PEM头尾标记缺失——这些都会让KeyFactory.generatePrivate()或SecretKeySpec构造失败。
立即学习“Java免费学习笔记（深入）”；
- RSA私钥必须是PKCS#8格式（以
-----BEGIN PRIVATE KEY-----开头），不是PKCS#1（-----BEGIN RSA PRIVATE KEY-----） - 从字符串加载密钥时，确保去除换行符、空格，并用标准Base64解码（如
java.util.Base64.getDecoder().decode()） - 调试时打印
key.getFormat()（常见为"RAW"、"PKCS#8"、"X.509"）和key.getAlgorithm()，比只看变量名更可靠
排查安全策略与环境差异
同一段代码，本地能跑通，上线就报Illegal key size——大概率是生产环境JDK未启用无限强度策略。
- 运行时检查最大允许密钥长度：
Cipher.getMaxAllowedKeyLength("AES")，返回128说明策略受限 - JDK 8u162+可直接设置：
Security.setProperty("crypto.policy", "unlimited")（需在Cipher使用前调用） - 老版本JDK需替换
$JAVA_HOME/jre/lib/security/下的local_policy.jar和US_export_policy.jar
