JDK 26 PEMEncoder 怎么加密私钥：withEncryption 与预览 API 边界

把 Java 私钥导出成 PEM 时，单纯调用 encodeToString 得到的是未加密的私钥文本。JDK 26 的预览 API PEMEncoder 提供 withEncryption(char[])：它返回一个新的编码器，再由这个实例把私钥类对象输出为 ENCRYPTED PRIVATE KEY。

withEncryption 返回新的 PEMEncoder

标准入口是 PEMEncoder.of()。随后调用 withEncryption，会得到一个新的 加密型 PEMEncoder；原始实例仍保持普通编码配置。这个不可变设计适合把“明文导出”和“加密导出”分开管理，避免共享对象被临时改写。

图中的 PEMEncoder.of() 连接 withEncryption，后者再连接 加密型 PEMEncoder。真正执行编码时，要调用返回的新实例。

最小私钥加密写法

下面假设 privateKey 已由可信来源加载。密码用字符数组承载，调用完成后清理调用方持有的数组：

char[] password = loadPassword();
try {
    PEMEncoder encoder = PEMEncoder.of()
        .withEncryption(password);
    String pem = encoder.encodeToString(privateKey);
    savePem(pem);
} finally {
    Arrays.fill(password, '\0');
}

有个容易忽略的细节：withEncryption 会克隆并保存密码数组。清理外部数组是必要动作，但不会同步清除编码器内部的副本。因此不要把加密型编码器做成长生命周期单例，用完后应尽快释放引用。

加密型编码器只接收三类输入

加密型 PEMEncoder 支持 PrivateKey、KeyPair 和 PKCS8EncodedKeySpec。若把证书、公钥或其他 DEREncodable 交给它，API 会抛出 IllegalArgumentException。证书与公钥应使用普通编码器。

图里只包含三条受支持关系。业务层可以在进入编码器之前做类型分流，避免把“能实现 DEREncodable”误当成“能加密编码”。

预览 API 与发布配置怎么核对

PEMEncoder 在 JDK 26 仍属于预览 API，后续版本可能调整或转为正式能力。升级时应重新核对 官方 API 文档，并用解码后的密钥类型和实际签名验证确认产物可用。

常见问题

withEncryption 会修改 PEMEncoder.of() 返回的实例吗？

不会。它返回一个新的不可变编码器，调用方必须保存并使用返回值。

清空 password 数组就能清除所有密码副本吗？

不能。方法会克隆数组，清空外部数组不会改动内部副本；应同时缩短编码器实例的生命周期。