本文介绍如何使用 Go 语言（借助 gopenpgp/v2 库）安全地生成 OpenPGP 密钥对，并以指定密码短语加密私钥后导出为 ASCII Armored 格式，确保私钥在存储或传输前具备强保护。

本文介绍如何使用 go 语言（借助 `gopenpgp/v2` 库）安全地生成 openpgp 密钥对，并以指定密码短语加密私钥后导出为 ascii armored 格式，确保私钥在存储或传输前具备强保护。

OpenPGP 标准要求私钥在导出时支持对称加密（通常使用 AES 等算法），以防止未授权访问。Go 官方的 golang.org/x/crypto/openpgp 包自 Go 1.18 起已被标记为 deprecated，且不直接支持现代密钥生成与密码加密导出的便捷接口；因此，推荐采用社区维护更活跃、API 更友好、符合 RFC 4880 和 RFC 6637 的替代方案 —— github.com/ProtonMail/gopenpgp/v2。

该库提供了高层封装的 helper.GenerateKey() 函数，可一站式完成：RSA 或 ECDSA 密钥生成、用户 ID 绑定（姓名 + 邮箱）、私钥使用 PBKDF2 衍生密钥 + AES-256 加密、以及 ASCII Armored 格式序列化。以下是一个完整、可运行的示例：

package main

import (
    "fmt"
    "strings"

    "github.com/ProtonMail/gopenpgp/v2/crypto"
    "github.com/ProtonMail/gopenpgp/v2/helper"
)

func main() {
    name       := "Max Mustermann"
    email      := "max.mustermann@example.com"
    passphrase := []byte("LongSecret") // 建议使用高强度密码（12+ 字符，含大小写字母、数字、符号）
    rsaBits    := 4096 // 推荐至少 3072，4096 更佳；避免使用 2048（已渐趋不安全）

    // 生成加密的 ASCII Armored 私钥（含公钥）
    armoredKey, err := helper.GenerateKey(name, email, passphrase, "rsa", rsaBits)
    if err != nil {
        panic(fmt.Sprintf("密钥生成失败: %v", err))
    }

    fmt.Println("✅ 已生成加密私钥（ASCII Armored）:")
    fmt.Println(armoredKey)

    // 可选：解析密钥环并提取公钥（用于分发）
    keyRing, err := crypto.NewKeyFromArmoredReader(strings.NewReader(armoredKey))
    if err != nil {
        panic(fmt.Sprintf("解析密钥失败: %v", err))
    }

    publicKey, err := keyRing.GetArmoredPublicKey()
    if err != nil {
        panic(fmt.Sprintf("导出公钥失败: %v", err))
    }
    fmt.Println("\n? 公钥（可安全分享）:")
    fmt.Println(publicKey)
}

? 关键说明与注意事项：

• ✅ 密码保护机制：helper.GenerateKey 内部自动使用 PBKDF2-SHA256（默认 65536 轮迭代）派生密钥，并用 AES-256-CFB 加密私钥数据包，完全兼容 GnuPG gpg --import 和 gpg --decrypt；
• ⚠️ 不要硬编码密码：生产环境中应通过环境变量、安全密钥管理服务（如 HashiCorp Vault）或交互式 golang.org/x/term.ReadPassword 获取密码；
• ? 密钥强度建议：RSA 至少 3072 位；若追求更高性能与未来兼容性，可改用 "ecdsa" + "p384"（对应 NIST P-384 曲线）；
• ? 导入验证：生成的私钥可直接用 gpg --import 导入 GnuPG，并用 <code>gpg -d 测试解密是否需正确输入密码；
• ? 依赖初始化：首次运行前请执行：

  go mod init gpg
  go mod tidy
  go run main.go

通过以上方式，你即可在 Go 应用中安全、合规、高效地实现 OpenPGP 密钥生命周期管理的核心环节 —— 加密私钥生成与导出。