gpg密钥校验本质是验证软件包来源可信且内容未篡改，通过公钥→元数据签名→软件包的三层可信链实现；校验分仓库元数据、可选单包签名、安装时内嵌签名三环节；配置需绑定可信源公钥并禁用密钥服务器直连。
GPG 密钥校验不是“检查有没有签名”，而是验证软件包是否真的来自你信任的发布者、且内容未被篡改。它靠的是公钥密码学构建的一条可信链：系统预置或手动导入的公钥 → 验证仓库元数据（如 repomd.xml 或 Release）的数字签名 → 保障后续下载的软件包列表和安装行为可信。
校验发生在哪几个关键环节
不同发行版流程略有差异，但核心都分三层：
- 仓库元数据校验：包管理器先下载仓库索引文件（如 yum 的 repomd.xml、apt 的 Release），再获取其对应的 .asc 签名文件，用已信任的公钥解密签名，并比对文件哈希值。失败则整个源被拒用。
- 软件包级校验（可选）：部分仓库（如 EPEL、PostgreSQL 官方源）为单个 RPM/DEB 提供独立 .asc 文件；dnf/yum 默认启用，apt 默认不强制校验单包，需额外工具支持。
- 安装时内嵌签名检查：RPM 包自身可携带 GPG 签名头，rpm 命令在安装时会调用 --checksig 检查；DEB 包本身不内嵌签名，依赖来源元数据可信性判断。
如何正确配置受信任的 GPG 公钥
信任必须明确绑定到具体仓库，且密钥来源必须可靠：
PyCharm 2026.2.0.1 Linux版
下载
PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。
- RHEL/CentOS/Fedora：确保 /etc/yum.repos.d/*.repo 中含 gpgcheck=1，并设置 gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-PGDG（以 PostgreSQL 为例）；密钥须通过官方渠道获取，比如从 ISO 镜像提取或 HTTPS 下载后核对 SHA256。
- Debian/Ubuntu：密钥应存入 /usr/share/keyrings/（推荐）或 /etc/apt/trusted.gpg.d/；在 sources.list 中引用时，用 [arch=amd64 signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] 明确绑定。
- 禁用 gpg --recv-keys 直连密钥服务器——它无身份审核，易遭中间人污染；生产环境必须离线验证或通过 HTTPS 官网导入。
常见失效原因与排查方向
遇到 “NO_PUBKEY” 或 “Bad GPG signature” 错误时，按顺序检查：
- 对应仓库的 gpgcheck=1 是否开启，gpgkey 路径是否拼写正确、文件是否存在；
- 公钥是否已成功导入（rpm -q gpg-pubkey 或 gpg --list-keys --homedir /etc/apt/trusted.gpg.d/）；
- 仓库元数据是否同步完整（如 repomd.xml.asc 是否随 repomd.xml 一同下载）；
- 系统时间是否准确——GPG 签名含有效期，时间偏差会导致验证失败。
验证已安装包的真实性和完整性
默认策略只在校验和安装阶段起作用，不覆盖已装系统：
- RPM 系统可用 rpm -K package-name 批量检查内嵌签名；返回 gpg OK 表示通过，gpg NOT OK 可能是篡改或签名损坏，gpg OKNOKEY 表示缺公钥。
- APT 系统无原生批量校验命令，但可通过 apt policy package-name 查看安装来源是否为可信仓库（如 o=Ubuntu, a=jammy）；对离线 .deb 文件，可用 dpkg-sig --verify（需先安装 dpkg-sig）。
- 高危组件如内核、GRUB、initramfs 不在常规包校验范围内，建议手动验证：例如 sudo sbverify --list /boot/vmlinuz-$(uname -r)（需启用 Secure Boot）。
