gpg密钥验证失败需按断点精准处置：先查no_pubkey密钥id并导入官网最新公钥；再核验密钥是否过期或错配，卸载旧钥后重导；确认仓库baseurl有效、发行版代号匹配；同步系统时间并清理dnf缓存。
遇到 yum/dnf 安装软件时提示 GPG 密钥验证失败，不能只加 --nogpgcheck 了事。真正要稳住系统安全又让安装成功，得按实际断点来处理——是密钥没导入？路径不对？还是源本身已失效？下面分几类直接对应操作。
先看错误里有没有 NO_PUBKEY 或 key ID
这是最常见原因：系统压根没这个仓库的公钥。
- 错误中若出现类似
NO_PUBKEY 871920D1991BC93C，后面那串 16 位十六进制码就是密钥 ID - RHEL/CentOS/Rocky/AlmaLinux 系统执行：
sudo rpm --import https://repo.mysql.com/RPM-GPG-KEY-mysql-2022（换成你软件官网提供的最新密钥 URL） - 如果密钥文件在本地但缺失，比如报
Couldn't open file /etc/pki/rpm-gpg/RPM-GPG-KEY-mysql，可先下载再导入：
sudo curl -o /tmp/RPM-GPG-KEY-mysql https://repo.mysql.com/RPM-GPG-KEY-mysql-2022 && sudo rpm --import /tmp/RPM-GPG-KEY-mysql
检查密钥是否过期或被轮换
很多项目（MySQL、PostgreSQL、Kubernetes）会定期更新签名密钥。旧密钥还在系统里，但新包已用新密钥签名，就会“密钥已装却不匹配”。
- 列出当前所有密钥：
rpm -qa gpg-pubkey* - 查官网文档确认最新密钥指纹（例如 MySQL 2022 密钥指纹是
3A79BD29），再核对本地是否一致：
rpm -qi gpg-pubkey-3a79bd29-* - 不一致就先卸载旧密钥：
sudo rpm -e gpg-pubkey-5072e1f5-*（ID 去掉前缀 0x）
再重新导入官网最新密钥
确认仓库配置和源地址是否有效
URL 写成 http://、发行版代号过时（如系统已是 rocky9 却还在用 rocky8 的 repo）、或镜像站已下线，都会导致 GPG 校验链断裂。
- 检查
/etc/yum.repos.d/*.repo文件，确认baseurl或mirrorlist是 https:// 开头 - 核对发行版代号是否匹配：
cat /etc/os-release | grep -E "(ID|VERSION_ID)" - 临时注释掉可疑第三方源，运行 sudo dnf makecache --refresh，看错误是否消失，快速定位问题源
- 国内用户推荐切换为阿里云或清华源，并同步导入对应密钥：
sudo rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-rockyofficial（Rocky Linux）
或从镜像站下载：
curl -s https://mirrors.aliyun.com/rocky/9/BaseOS/x86_64/os/RPM-GPG-KEY-rockyofficial | sudo rpm --import -
清理缓存与校准时间也很关键
GPG 签名带时间戳，系统时间偏差超过几小时，验证会直接失败；dnf 缓存污染也会让旧版 repomd.xml 残留，读取错误的 gpgkey 地址。
- 同步系统时间：
sudo chronyd -q 'server ntp.aliyun.com iburst' 或 sudo timedatectl set-ntp true - 彻底清理缓存：
sudo dnf clean all && sudo dnf makecache - 若仍失败，可尝试重建密钥环：
sudo rm -f /var/lib/rpm/Pubkeys && sudo rpm --rebuilddb
