Java中InvalidKeyException无效密钥引发加密异常指南

InvalidKeyException本质是密钥类型、长度、格式或环境策略不匹配导致的运行时异常；需在Cipher.init()前校验密钥算法、字节长度、编码格式，并确认JCE策略是否启用无限强度加密。

InvalidKeyException不是配置错误，而是密钥本身或使用方式出了问题。它不报在编译期，只在运行时触发，往往一出现就导致核心加密流程中断——比如支付签名失败、Token解密崩溃、API鉴权拒绝。关键不在“怎么捕获”，而在“怎么提前挡住”。

确认密钥类型是否匹配算法

把RSA私钥塞进AES加密器，就像拿U盘当螺丝刀——物理形态存在，但根本不适配。Java会在Cipher.init()时直接拒绝。

• 对称加密（AES、DES）必须用SecretKey，不能是PublicKey或PrivateKey
• RSA加解密必须区分公私钥：PublicKey用于加密和验签，PrivateKey用于解密和签名
• 检查代码中是否混用了密钥：比如从KeyStore加载的密钥类型与算法声明不一致

验证密钥长度是否合规

AES支持128/192/256位，对应16/24/32字节；DES固定56位有效（64位含校验位）；RSA建议≥2048位。长度错一位，就会抛异常。

• 生成密钥时明确指定长度：keyGen.init(256)，而不是依赖默认值
• 手动构造SecretKeySpec前，先校验字节数：if (keyBytes.length != 16 && keyBytes.length != 24 && keyBytes.length != 32)
• 注意JDK版本限制：Java 8u151之前需安装无限制策略文件才能用256位AES；Java 9+已默认放开

检查密钥格式与编码是否损坏

Base64解码后少了字符、Hex字符串含非法字母、PEM头尾标记缺失——这些都会让KeyFactory.generatePrivate()或SecretKeySpec构造失败。

立即学习“Java免费学习笔记（深入）”；

• RSA私钥必须是PKCS#8格式（以-----BEGIN PRIVATE KEY-----开头），不是PKCS#1（-----BEGIN RSA PRIVATE KEY-----）
• 从字符串加载密钥时，确保去除换行符、空格，并用标准Base64解码（如java.util.Base64.getDecoder().decode()）
• 调试时打印key.getFormat()（常见为"RAW"、"PKCS#8"、"X.509"）和key.getAlgorithm()，比只看变量名更可靠

排查安全策略与环境差异

同一段代码，本地能跑通，上线就报Illegal key size——大概率是生产环境JDK未启用无限强度策略。

• 运行时检查最大允许密钥长度：Cipher.getMaxAllowedKeyLength("AES")，返回128说明策略受限
• JDK 8u162+可直接设置：Security.setProperty("crypto.policy", "unlimited")（需在Cipher使用前调用）
• 老版本JDK需替换$JAVA_HOME/jre/lib/security/下的local_policy.jar和US_export_policy.jar