最有效的方法是手动验证PPA官方公钥指纹后再添加：先在Launchpad页面核对16位或40位完整指纹，再从可信地址下载公钥文件并用gpg --show-keys校验，确认一致后通过--dearmor导入，并在sources.list中用signed-by显式绑定密钥路径，最后apt update时检查Signature输出是否匹配且无NO_PUBKEY/BADSIG错误。
核心方法是：不依赖自动导入，而是手动验证公钥指纹后再添加——这是防止中间人篡改最有效的实践。
确认PPA官方公布的公钥指纹
每个正规PPA（如Launchpad上的）都会在页面明确展示其GPG公钥指纹。例如访问 https://launchpad.net/~deadsnakes/+archive/ubuntu/ppa，在“Signing key”栏会看到类似 461B 7570 1234 ABCD 的16位指纹（或40位完整指纹）。这个指纹必须与你本地导入的密钥完全一致，不能只看末8位。
常见错误是跳过这一步，直接运行 apt-key adv --recv-keys，结果可能拉到被污染或伪造的密钥。
手动下载并校验公钥文件
更安全的做法是绕过密钥服务器，从PPA维护者指定的可信地址获取公钥：
- 查看PPA文档或其GitHub仓库，找到官方发布的
.asc或.gpg公钥文件链接（如https://keyserver.ubuntu.com/pks/lookup?op=get&search=0x1234ABCD不推荐；应优先找项目官网直链） - 用
wget或curl -fSLO下载该文件 - 用
gpg --show-keys查看其指纹，确认是否与Launchpad页面一致 - 若一致，再执行
sudo gpg --dearmor -o /usr/share/keyrings/deadsnakes-archive-keyring.gpg downloaded-key.asc
配置源时显式绑定密钥路径
避免使用老旧的 apt-key add（它把密钥全局注入 /etc/apt/trusted.gpg，风险高），改用现代APT签名机制：
- 创建源文件：
sudo tee /etc/apt/sources.list.d/deadsnakes-ppa.list - 内容写成：
deb [arch=amd64 signed-by=/usr/share/keyrings/deadsnakes-archive-keyring.gpg] http://ppa.launchpad.net/deadsnakes/ppa/ubuntu jammy main - 这样每个源都绑定专属密钥，即使某个PPA密钥泄露或失效，也不会影响其他源
更新前检查签名是否生效
执行 sudo apt update 后，观察输出中是否有类似这样的行：
Signature by key 461B75701234ABCD
如果显示了你核对过的指纹，且没有 NO_PUBKEY 或 BADSIG 报错，说明验证链完整可信。若出现 WARNING: The following packages cannot be authenticated!，立即中止安装并回查密钥来源。
