通过

BCryptExportKey 函数 （bcrypt.h）

BCryptExportKey 函数将密钥导出到内存 BLOB，以供以后使用。

语法

NTSTATUS BCryptExportKey(
  [in]  BCRYPT_KEY_HANDLE hKey,
  [in]  BCRYPT_KEY_HANDLE hExportKey,
  [in]  LPCWSTR           pszBlobType,
  [out] PUCHAR            pbOutput,
  [in]  ULONG             cbOutput,
  [out] ULONG             *pcbResult,
  [in]  ULONG             dwFlags
);

参数

[in] hKey

要导出的密钥的句柄。

[in] hExportKey

要包装导出密钥的密钥的句柄。 导出 类型为 BCRYPT_AES_WRAP_KEY_BLOB; 的 BLOB 时，请使用此参数;否则，将其设置为 NULL.

注释

  hExportKey 句柄必须由提供 hKey 句柄的同一提供程序提供，hExportKey 必须是可用于高级加密标准（AES）密钥包装算法的对称密钥的句柄。 当 hKey 句柄来自Microsoft提供程序时， hExportKey 必须是 AES 密钥句柄。

Windows Server 2008 和 Windows Vista： 此参数未使用，应设置为 NULL。

[in] pszBlobType

一个以 null 结尾的 Unicode 字符串，其中包含指定要导出的 BLOB 类型的标识符。 这可以是以下值之一。

价值 意义
BCRYPT_AES_WRAP_KEY_BLOB 导出 AES 密钥包装的键。 hExportKey 参数必须引用指向密钥加密密钥的有效BCRYPT_KEY_HANDLE指针，并且 hKey 参数表示的密钥必须是长度为 8 字节的倍数。

Windows Server 2008 和 Windows Vista： 不支持此 BLOB 类型。
BCRYPT_DH_PRIVATE_BLOB 导出 Diffie-Hellman 公钥/私钥对。 pbOutput 缓冲区立即接收BCRYPT_DH_KEY_BLOB结构，后跟密钥数据。
BCRYPT_DH_PUBLIC_BLOB 导出 Diffie-Hellman 公钥。 pbOutput 缓冲区立即接收BCRYPT_DH_KEY_BLOB结构，后跟密钥数据。
BCRYPT_DSA_PRIVATE_BLOB 导出 DSA 公钥/私钥对。 pbOutput 缓冲区立即接收BCRYPT_DSA_KEY_BLOB或BCRYPT_DSA_KEY_BLOB_V2结构，后跟密钥数据。 BCRYPT_DSA_KEY_BLOB 用于 512 到 1024 位的密钥长度。 BCRYPT_DSA_KEY_BLOB_V2 用于超过 1024 位但小于或等于 3072 位的密钥长度。

Windows 8： 开始对 BCRYPT_DSA_KEY_BLOB_V2 的支持。
BCRYPT_DSA_PUBLIC_BLOB 导出 DSA 公钥。 pbOutput 缓冲区立即接收BCRYPT_DSA_KEY_BLOB或BCRYPT_DSA_KEY_BLOB_V2结构，后跟密钥数据。 BCRYPT_DSA_KEY_BLOB 用于 512 到 1024 位的密钥长度。 BCRYPT_DSA_KEY_BLOB_V2 用于超过 1024 位但小于或等于 3072 位的密钥长度。

Windows 8： 开始对 BCRYPT_DSA_KEY_BLOB_V2 的支持。
BCRYPT_ECCPRIVATE_BLOB 导出 椭圆曲线加密 （ECC） 私钥。 pbOutput 缓冲区立即接收BCRYPT_ECCKEY_BLOB结构，后跟密钥数据。
BCRYPT_ECCPUBLIC_BLOB 导出 ECC 公钥。 pbOutput 缓冲区立即接收BCRYPT_ECCKEY_BLOB结构，后跟密钥数据。
BCRYPT_KEY_DATA_BLOB 将对称密钥导出到数据 BLOB。 pbOutput 缓冲区立即接收BCRYPT_KEY_DATA_BLOB_HEADER结构，后跟密钥 BLOB。
BCRYPT_MLKEM_PUBLIC_BLOB BLOB 是一个 ML-KEM BLOB，它提供每个 FIPS 203 的标准字节编码 ML-KEM 封装密钥的导入和导出。 pbOutput 缓冲区必须包含包含字节编码的 KEM 封装键、BCRYPT_MLKEM_PUBLIC_MAGIC和 ML-KEM 参数集的BCRYPT_MLKEM_KEY_BLOB结构。
BCRYPT_MLKEM_PRIVATE_BLOB BLOB 是一个 ML-KEM BLOB，它提供每个 FIPS 203 的标准字节编码 ML-KEM 解封密钥的导入和导出。 pbOutput 缓冲区必须包含一个BCRYPT_MLKEM_KEY_BLOB结构，其中包含字节编码的 KEM 解封键、BCRYPT_MLKEM_PRIVATE_MAGIC和 ML-KEM 参数集。
BCRYPT_MLKEM_PRIVATE_SEED_BLOB BLOB 是一个 ML-KEM BLOB，它为每个 FIPS 203 提供 ML-KEM 种子的导入和导出。 pbOutput 缓冲区必须包含包含 KEM 种子、BCRYPT_MLKEM_SEED_MAGIC和 ML-KEM 参数集的BCRYPT_MLKEM_KEY_BLOB结构。
BCRYPT_OPAQUE_KEY_BLOB 以特定于单个 加密服务提供商 （CSP）的格式导出对称密钥。 不透明 BLOB 不可传输，必须使用生成 BLOB 的同一 CSP 导入。 不透明 BLOB 仅用于密钥的进程间传输，不适合跨提供程序的版本持久保存和读取。
BCRYPT_PQDSA_PUBLIC_BLOB BLOB 是 ML-DSA、SLH-DSA、LMS 或 XMSS BLOB，提供每个 FIPS 204 和 205 PQ 数字签名公钥的导入和导出。 pbOutput 缓冲区必须包含包含密钥材料、公共 magic 和 PQ 参数集的BCRYPT_PQDSA_KEY_BLOB结构。
BCRYPT_PQDSA_PRIVATE_BLOB BLOB 是 ML-DSA、SLH-DSA、LMS 或 XMSS BLOB，它提供每个 FIPS 204 和 205 PQ 数字签名私钥的导入和导出。 pbOutput 缓冲区必须包含包含密钥材料、专用 magic 和 PQ 参数集的BCRYPT_PQDSA_KEY_BLOB结构。
BCRYPT_PQDSA_PRIVATE_SEED_BLOB BLOB 是 ML-DSA、SLH-DSA、LMS 或 XMSS BLOB，提供每个 FIPS 204 和 205 PQ 数字签名专用种子的导入和导出。 pbOutput 缓冲区必须包含一个BCRYPT_PQDSA_KEY_BLOB结构，其中包含种子值、专用种子 magic 和 PQ 参数集。
BCRYPT_PRIVATE_KEY_BLOB 导出任何类型的通用私钥。 私钥不一定包含公钥。 此 BLOB 中的密钥类型由BCRYPT_KEY_BLOB结构的 Magic 成员确定。
BCRYPT_PUBLIC_KEY_BLOB 导出任何类型的通用公钥。 此 BLOB 中的密钥类型由BCRYPT_KEY_BLOB结构的 Magic 成员确定。
BCRYPT_RSAFULLPRIVATE_BLOB 导出完整的 RSA 公钥/私钥对。 pbOutput 缓冲区立即接收BCRYPT_RSAKEY_BLOB结构，后跟密钥数据。 与 BCRYPT_RSAPRIVATE_BLOB 类型相比，此 BLOB 将包含其他密钥材料。
BCRYPT_RSAPRIVATE_BLOB 导出 RSA 公钥/私钥对。 pbOutput 缓冲区立即接收BCRYPT_RSAKEY_BLOB结构，后跟密钥数据。
BCRYPT_RSAPUBLIC_BLOB 导出 RSA 公钥。 pbOutput 缓冲区立即接收BCRYPT_RSAKEY_BLOB结构，后跟密钥数据。
LEGACY_DH_PRIVATE_BLOB 导出旧 版Diffie-Hellman 版本 3 私钥 BLOB ，其中包含可以使用 CryptoAPI 导入的 Diffie-Hellman 公钥/私钥对。
LEGACY_DH_PUBLIC_BLOB 导出旧 版Diffie-Hellman 版本 3 公钥 BLOB ，其中包含可以使用 CryptoAPI 导入的 Diffie-Hellman 公钥。
LEGACY_DSA_PRIVATE_BLOB 以可以使用 CryptoAPI 导入的形式导出 DSA 公钥/私钥对。
LEGACY_DSA_PUBLIC_BLOB 使用 CryptoAPI 以可导入的形式导出 DSA 公钥。
LEGACY_DSA_V2_PRIVATE_BLOB 使用 CryptoAPI 以可导入的形式导出 DSA 版本 2 私钥。
LEGACY_RSAPRIVATE_BLOB 以可以使用 CryptoAPI 导入的形式导出 RSA 公钥/私钥对。
LEGACY_RSAPUBLIC_BLOB 使用 CryptoAPI 以可导入的形式导出 RSA 公钥。

[out] pbOutput

接收密钥 BLOB 的缓冲区的地址。 cbOutput 参数包含此缓冲区的大小。 如果此参数是NULL，则此函数会将所需的大小（以字节为单位）放置在由Result 参数指向的 ULONG 中。

[in] cbOutput

包含 pbOutput 缓冲区的大小（以字节为单位）。

[out] pcbResult

指向 ULONG 的指针，用于接收复制到 pbOutput 缓冲区的字节数。 如果 pbOutput 参数是 NULL，此函数会将所需的大小（以字节为单位）放置在此参数指向的 ULONG 中。

[in] dwFlags

一组标志，用于修改此函数的行为。 此函数未定义任何标志。

对于 ML-KEM 键，此参数必须为零。

返回值

返回一个状态代码，指示函数的成功或失败。

可能的返回代码包括但不限于以下代码。

返回代码 描述
STATUS_SUCCESS 函数成功。
STATUS_BUFFER_TOO_SMALL cbOutput 参数指定的大小不够大，无法容纳密码文本。 如果缓冲区 pbOutput 太小， 则 pbResult 接收 pbOutput 所需的字节数。
STATUS_INVALID_HANDLE hKey 参数中的键句柄无效。
STATUS_INVALID_PARAMETER 一个或多个参数无效。
STATUS_NOT_SUPPORTED 提供程序不支持指定的 BLOB 类型。 如果提供的密钥句柄不支持导出专用种子。 请参阅 备注。

言论

请注意，仅当调用方使用 BCrypt 生成密钥或通过导入专用种子创建句柄时，ML-KEM 私有种子的导出才可用。

根据提供程序支持的处理器模式，可以从用户模式或内核模式调用 BCryptExportKey 。 内核模式调用方可以在 PASSIVE_LEVELIRQL 或 DISPATCH_LEVEL IRQL 上执行。 如果当前 IRQL 级别 DISPATCH_LEVEL，则 hKey 参数中提供的句柄必须派生自使用 BCRYPT_PROV_DISPATCH 标志打开的提供程序返回的算法句柄，并且传递给 BCryptExportKey 函数的任何指针都必须引用非分页（或锁定）内存。

若要在内核模式下调用此函数，请使用 Cng.lib，这是驱动程序开发工具包（DDK）的一部分。 Windows Server 2008 和 Windows Vista： 若要在内核模式下调用此函数，请使用 Ksecdd.lib。

要求

要求 价值
最低支持的客户端 Windows Vista [桌面应用 |UWP 应用]
支持的最低服务器 Windows Server 2008 [桌面应用 |UWP 应用]
目标平台 窗户
标头 bcrypt.h
图书馆 Bcrypt.lib
DLL Bcrypt.dll

另请参阅

BCryptImportKey

BCryptImportKeyPair