gpg签名校验linux镜像的核心是验证其“确实来自官方且未被篡改”，需同时下载iso、哈希清单及对应签名文件，先用可信公钥验证清单签名，再用已验证清单校验iso哈希值。
Linux系统镜像的GPG签名校验，核心是验证镜像“确实来自官方、且下载过程中没被篡改”。它不是简单比对哈希值，而是用公钥密码学建立一条可信链：你信任的发行方公钥 → 解密并验证哈希清单的签名 → 确认镜像文件的SHA256值真实有效。
下载三件套：镜像 + 哈希清单 + 签名文件
从发行版官网或可信镜像站（如 mirrors.tuna.tsinghua.edu.cn）同时获取以下三个文件，必须使用 HTTPS：
-
ISO 镜像文件（如
ubuntu-24.04-live-server-amd64.iso） -
哈希清单文件（如
SHA256SUMS或CHECKSUM） -
该清单的 GPG 签名文件（如
SHA256SUMS.gpg或CHECKSUM.sig）
缺一不可。只下载 ISO 和哈希清单，无法确认哈希本身是否被替换；没有签名文件，就失去了对发布者身份的验证依据。
导入并验证官方公钥
公钥必须来自可信渠道——不能靠 gpg --recv-keys 直连密钥服务器（易受中间人攻击），而应：
- 从发行版官网明确公布的密钥指纹出发，手动导入（例如 Ubuntu 的密钥 ID 是
0xF6E6A532F9D37F1C） - 或从官方 ISO 镜像中提取（挂载 ISO 后查找
/EFI/ubuntu/KEYS或类似路径） - 导入后运行
gpg --list-keys确认存在，且 UID 显示为官方名称（如 “Ubuntu CD Image Automatic Signing Key”）
分两步执行校验：先验清单，再验镜像
顺序不能颠倒。只有清单签名有效，其内含的哈希值才可信：
-
第一步：验证哈希清单签名
运行gpg --verify SHA256SUMS.gpg SHA256SUMS，输出中出现Good signature from "..."且无WARNING: This key is not certified with a trusted signature!类提示（首次导入时该警告正常，说明签名有效但尚未本地信任） -
第二步：用已验证的清单校验 ISO
运行sha256sum -c SHA256SUMS 2>&1 | grep '\.iso'，输出应为OK。若显示FAILED，说明镜像损坏或被篡改，立即弃用
规避常见风险点
很多校验失败并非操作错误，而是环境或配置问题：
-
系统时间严重偏差：GPG 签名含时间戳，若本地时间误差超数小时，会报 “signature expired” 或 “bad signature”。用
timedatectl status检查并同步时间 - 误信第三方镜像站未同步签名：部分镜像站只同步 ISO 和哈希清单，漏传 .gpg 文件。务必回源站核对文件列表完整性
-
混淆校验对象：有人试图直接对 ISO 文件运行
gpg --verify—— 这是错的。ISO 本身不带 GPG 签名，签名对象是哈希清单
