Java keytool 導入 sun.security.tools.KeyTool 報錯：JDK 8 移除內部類，降級 JDK 7 或使用公共 API 解決

錯誤現象

import sun.security.tools.KeyTool; // 編譯錯誤：The import sun.security.tools.KeyTool cannot be resolved

專案依賴 rt.jar，且 JDK 版本為 **JDK 8 (1.8.x)**。

根本原因

sun.*、com.sun.* 包屬於 **JDK 內部實現**，**非公共 API**，不保證跨版本兼容。
JDK 8 模塊化 (JEP 260) 將內部類封裝在 jdk.crypto.ec 等模塊中，**不再導出** `sun.security.tools.KeyTool`，導致編譯/運行時找不到類。

解決方案（按推薦度）

方案一：使用公共 API —— KeyStore / CertificateFactory (標準、跨版本)

// 生成密鑰對
KeyPairGenerator kpg = KeyPairGenerator.getInstance("RSA");
kpg.initialize(2048);
KeyPair kp = kpg.generateKeyPair();

// 存儲 Keystore
KeyStore ks = KeyStore.getInstance("PKCS12");
ks.load(null, null);
ks.setKeyEntry("alias", kp.getPrivate(), "keypass".toCharArray(),
    new Certificate[]{ /* 自簽證書鏈 */ });
try (FileOutputStream fos = new FileOutputStream("keystore.p12")) {
    ks.store(fos, "storepass".toCharArray());
}

方案二：命令行調用 keytool 工具（進程隔離、零依賴）

ProcessBuilder pb = new ProcessBuilder(
    "keytool", "-genkeypair",
    "-alias", "mykey",
    "-keyalg", "RSA",
    "-keysize", "2048",
    "-keystore", "keystore.p12",
    "-storetype", "PKCS12",
    "-storepass", "storepass",
    "-keypass", "keypass",
    "-dname", "CN=Test, OU=Dev, O=Company, L=City, ST=State, C=CN"
);
Process p = pb.start();
p.waitFor(); // 檢查 exitCode

方案三：降級 JDK 7（不推薦，安全風險、無長期支持）

安裝 JDK 7u80，修改項目編譯版本 1.7，`sun.security.tools.KeyTool` 重新可見。**僅作臨時過渡**，必須盡快遷移到方案一/二。

方案四：添加 `--add-exports` 強制導出（JDK 9+，JDK 8 不支持模塊系統）

// 僅 JDK 9+ 有效
javac --add-exports java.base/sun.security.tools=ALL-UNNAMED ...
java  --add-exports java.base/sun.security.tools=ALL-UNNAMED ...

最佳實踐原則

• 嚴禁在生產代碼中直接使用 `sun.*` / `com.sun.*` 內部類，任何版本升級都可能斷崖式失效。
• 證書/密鑰操作優先用 **KeyStore、CertificateFactory、KeyPairGenerator** 標準 API。
• 需調用 keytool CLI 時，用 ProcessBuilder 隔離進程，解析輸出/返回碼。
• Maven/Gradle 打包時配置 maven-enforcer-plugin 禁止內部 API 依賴：
  `sun.**`、`com.sun.**`。

從「依賴內部實現」轉向「標準 API + 進程隔離」，是 Java 項目長期穩定演進的必經之路。