本文介绍如何使用 Go 语言（借助 gopenpgp/v2 库）安全生成带密码保护的 OpenPGP 密钥对，并导出加密的私钥与可验证的公钥，满足生产环境中密钥保密与互操作性需求。
本文介绍如何使用 go 语言（借助 gopenpgp/v2 库）安全生成带密码保护的 openpgp 密钥对，并导出加密的私钥与可验证的公钥，满足生产环境中密钥保密与互操作性需求。
OpenPGP 标准要求私钥在导出前必须经过对称加密（通常使用 AES），以防止未授权访问。Go 官方 golang.org/x/crypto/openpgp 包已归档且不再维护，不推荐用于新项目；取而代之的是功能完备、 actively maintained 的 github.com/ProtonMail/gopenpgp/v2 —— 它原生支持密码加密私钥、符合 RFC 4880 规范，并兼容 GnuPG（如 gpg --import 可直接导入）。
以下是一个完整、可运行的示例，演示如何生成 4096 位 RSA 密钥对，用 passphrase 加密私钥，并输出 ASCII-armored 格式的私钥与公钥：
package main
import (
"fmt"
"strings"
"github.com/ProtonMail/gopenpgp/v2/crypto"
"github.com/ProtonMail/gopenpgp/v2/helper"
)
func main() {
name := "Max Mustermann"
email := "max@example.com"
passphrase := []byte("LongSecret") // 必须为字节切片；建议使用强密码或密钥派生（如 scrypt）
rsaBits := 4096 // 推荐至少 3072，4096 更安全（原示例中 2048*2=4096，此处显式写出更清晰）
// 生成加密的私钥（ASCII-armored）——自动使用 passphrase 加密私钥部分
armoredKey, err := helper.GenerateKey(name, email, passphrase, "rsa", rsaBits)
if err != nil {
panic(fmt.Sprintf("密钥生成失败: %v", err))
}
fmt.Println("✅ 已生成加密的私钥（含公钥）:")
fmt.Println(armoredKey)
// 解析密钥环，提取公钥（不含私钥，适合分发）
keyRing, err := crypto.NewKeyFromArmoredReader(strings.NewReader(armoredKey))
if err != nil {
panic(fmt.Sprintf("解析密钥失败: %v", err))
}
publicKey, err := keyRing.GetArmoredPublicKey()
if err != nil {
panic(fmt.Sprintf("提取公钥失败: %v", err))
}
fmt.Println("\n✅ 公钥（可用于他人加密消息）:")
fmt.Println(publicKey)
}
? 关键说明与注意事项：
- ✅
helper.GenerateKey内部调用crypto.GenerateKey并自动使用 passphrase 加密私钥，生成的 ASCII-armored 字符串中，-----BEGIN PGP PRIVATE KEY BLOCK-----部分已被 AES-256 加密，只有提供正确 passphrase 才能解密使用； - ✅ 输出的
armoredKey同时包含加密私钥和对应公钥（GnuPG 兼容格式），可直接保存为.asc文件并通过gpg --import导入； - ⚠️
passphrase必须是[]byte类型，不可为空或弱密码；生产环境建议结合密钥派生函数（如scrypt或argon2）增强抗暴力破解能力； - ⚠️ 不要硬编码 passphrase；应通过安全方式（如环境变量、密钥管理服务）注入；
- ✅ 生成的密钥默认使用 SHA2-256 哈希与 AES-256 对称加密，符合现代安全实践；
- ? 若需单独导出加密私钥（不含公钥），可调用
keyRing.GetArmoredPrivateKey(passphrase)；若需解密私钥进行签名操作，使用keyRing.DecryptPrivateKey(passphrase)。
运行前请初始化模块：
go mod init gpg go mod tidy go run main.go
最终生成的私钥文件可在 GnuPG 中验证：gpg --list-secret-keys 将显示该密钥（需输入 passphrase 解锁），确保其加密机制与标准工具链无缝协同。
