RSA 与 ECC · SPKI SHA-256 比较

检查 CSR 与私钥是否匹配。

申请或安装 SSL 证书前，在线检查 CSR 与私钥是否匹配。匹配工具在浏览器本地比较公钥，不会上传私钥。

仅在浏览器中匹配 · 不会上传你的私钥

粘贴或上传 CSR 和私钥。

上传的文件在本地读取。两份输入都留在此浏览器标签页中，清除或关闭页面后会被丢弃。

证书签名请求

接受 .csr、.p10、.req、.pem 或 .der 格式的 PKCS#10 请求。

私钥

接受 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 文件。

匹配结果将显示在这里

匹配工具会提取两份公钥，比较规范化的 SPKI 字节，并验证 CSR 自签名。

CSR 与私钥预检

签发证书前检查这一对文件。

CSR 包含公钥，并由对应的私钥签名。文件名和域名不能证明两个文件属于同一对。密码学比较可以避免你提交一份已经没有对应私钥的请求。

避免为丢失的私钥申请证书

确认你仍然持有安装由此 CSR 签发的证书所需的私钥。

比较实际的密钥

判断依据是规范化公钥字节，而不是文件名、主体、域名或 PEM 排版。

密钥材料保留在本地

解析、规范化、哈希和比较都在当前浏览器标签页中完成。

检查 CSR 与私钥是否匹配

如何检查 CSR 和私钥是否匹配。

你需要完整的 CSR，以及你认为生成它的那把私钥。不要只靠文件名是否相同来判断。

01
添加完整的 CSR
粘贴 PEM 内容，或上传 .csr、.p10、.req、.pem 或 .der 格式的 PKCS#10 请求。
02
添加候选的私钥
粘贴 PEM 内容，或上传未加密的 .key 或 .pem 文件。内容只保留在此标签页中。
03
选择检查匹配
查看“匹配”或“不匹配”的结论、两份 SPKI SHA-256 指纹，以及 CSR 签名状态。

匹配结果

CSR 匹配结果说明什么。

匹配

CSR 包含由此私钥推导出的公钥。请妥善保管私钥，并把 CSR 提交给证书颁发机构。

无匹配

两把公钥不一致。申请或安装证书前，请找到原始密钥，或生成新的密钥和 CSR。

无法解析

检查 PEM 边界行，确认两份输入都没有被截断。如果私钥已加密，请在本地使用 OpenSSL。

公钥比较

CSR 与私钥匹配工具如何工作。

匹配工具会提取 CSR 中的公钥，并从提供的私钥推导公钥。两把密钥都会先导出为规范化的 SubjectPublicKeyInfo（SPKI）DER，再比较字节。

它还会为每个 SPKI 值计算 SHA-256 指纹，便于核对判断结果。此方法适用于 RSA 和支持的椭圆曲线密钥；RSA 模数比较不适用于 ECC。

匹配能够证明什么

The CSR and private key contain the same public key
The CSR can be verified with its embedded public key
The private key can be used with a certificate issued from this CSR

匹配不能证明域名所有权，不能验证 CSR 主体，也不能保证证书一定能签发。

使用 OpenSSL 检查 CSR 与私钥是否匹配。

如果私钥已加密，或你的策略不允许使用浏览器工具，请在受信任的计算机上运行这些命令。哈希匹配表示公钥相同。

CSR SPKI SHA-256

openssl req -in request.csr -pubkey -noout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

私钥 SPKI SHA-256

openssl pkey -in private.key -pubout \
  | openssl pkey -pubin -outform DER \
  | openssl dgst -sha256

CSR 与私钥不匹配时该怎么办。

请检查生成 CSR 的计算机、续期目录、密钥管理器、部署记录和安全备份。续期可能生成了新私钥，而旧的 CSR 或证书仍使用原来的文件名。

无法从 CSR 恢复私钥。如果没有正确的密钥，请生成新的私钥和 CSR，然后提交新请求，或请证书颁发机构重新签发证书。

支持的格式与限制。

粘贴 PKCS#10 CSR 的 PEM 或 Base64 DER，或上传 .csr、.p10、.req、.pem 或 .der 文件。私钥可以粘贴，或以 PKCS#8、RSA PKCS#1 或 EC SEC1 格式的未加密 .key 或 .pem 文件上传。支持的 EC 曲线为 P-256、P-384 和 P-521。

加密的私钥、证书、PFX/PKCS#12 包，以及硬件中不可导出的密钥有意不在本页范围内。请使用 OpenSSL 或你的密钥管理系统处理这些格式。

CSR 解析工具

提交 CSR 前，解析主体、SAN、公钥、签名和申请的扩展。

Decode CSR

CSR 生成器

如果当前文件不匹配或原始密钥已丢失，请在本地创建新的 CSR 和私钥。

Generate CSR

证书密钥匹配器

安装到服务器之前，把已签发的 SSL 证书与私钥进行比对。

Check certificate & key

PKCS#1 / PKCS#8 转换器

当服务器要求不同的 PEM 标头时，在 PKCS#1 和 PKCS#8 之间转换私钥与公钥格式。

Convert key format

CSR 与私钥匹配常见问题

CSR 与私钥的常见问题。

如何检查 CSR 和私钥是否匹配？

粘贴或上传完整的证书签名请求和私钥。匹配工具会从每份输入中提取公钥，都转换为规范化的 SubjectPublicKeyInfo 数据后进行比较。公钥相同即表示 CSR 与私钥匹配。

把私钥粘贴到此检查工具是否安全？

比较在浏览器本地进行。CSR 和私钥不会发送到我们的服务器、不会被保存，也不会写入 URL。完成后请清空表单或关闭标签页。生产环境的密钥请遵循组织的密钥处理策略。

CSR 匹配工具支持 RSA 和 ECC 密钥吗？

会。它比较的是规范化公钥，而不是仅适用于 RSA 的模数方法，因此同时支持 RSA，以及 P-256、P-384 和 P-521 曲线上的 ECDSA 密钥。

可以检查加密的私钥吗？

此版本不要求也不解密私钥口令。密钥已加密时，请使用本页的 OpenSSL 命令，或在受信任的计算机上创建临时的未加密副本，用完后立即删除。

如果 CSR 和私钥不匹配，该怎么办？

查找与 CSR 同时创建的私钥。请检查原始服务器、续期目录、密钥管理器和备份。如果无法找回，请生成新的私钥和 CSR，然后提交新的 CSR 或申请重新签发证书。

只比较 RSA 模数够吗？

模数比较适用于 RSA，但不适用于椭圆曲线密钥。此匹配工具会比较完整的规范化公钥结构，并给出 SHA-256 指纹，对 RSA 和支持的 ECC 密钥都能一致地工作。

此页面可以检查证书和私钥是否匹配吗？

不是。本页专门用于对照私钥检查 CSR。请在把 CSR 发给证书颁发机构之前使用。证书匹配是另一项操作，不能根据名称或文件名推断。