gpg解密失败主因是密钥状态或加密方式不匹配：需确认私钥已导入、未过期、UID匹配，且区分对称加密（只需密码）与非对称加密（需对应私钥）；文件名.gpg不决定加密类型，应通过file或gpg --list-packets判断。

gpg

解密失败，八成不是命令写错了，而是密钥、权限或加密方式没对上。直接用 gpg --decrypt 能跑通的前提是：你有对应私钥、它已导入、没过期、且密码记得住。

确认私钥是否已导入并可用

解密前必须确保你的私钥在本地密钥环里，否则 gpg 根本找不到解密凭据。

• 运行 gpg --list-secret-keys，看输出里有没有匹配加密文件所用身份（比如邮箱或姓名）的私钥条目
• 如果空白或报错 gpg: directory '/home/xxx/.gnupg' not found，说明还没初始化密钥环，得先 gpg --gen-key 或 gpg --import private.key
• 若私钥是别人给的（如 mykey.asc），导入时用 gpg --import mykey.asc，注意该文件必须是 ASCII-armored（含 -----BEGIN PGP PRIVATE KEY BLOCK-----）或二进制格式，不能是加密后的 .gpg 文件
• 私钥被设了过期时间？检查输出中 [expires: ...] 字段，过期后 gpg 默认拒绝使用（可加 --ignore-valid-from 强制，但不推荐）

区分对称加密和非对称加密的解密方式

gpg --decrypt 看似万能，实则行为取决于加密时用的是哪种模式——这点最容易踩坑。

• 如果是用 gpg -c file.txt（即 --symmetric）加密的，解密时不需要私钥，只靠密码；运行 gpg -d file.txt.gpg 即可，会提示输入对称密码
• 如果是用 gpg -e -r "Alice" file.txt 加密的，说明用了 Alice 的公钥，那只有 Alice 的私钥能解——你得确认当前系统里装的是 Alice 的私钥，而不是你自己的
• 混淆点：文件名带 .gpg 后缀 ≠ 一定用了非对称加密；它只是默认扩展名，-c 和 -e 都会产生这个后缀
• 不确定加密方式？试 file encrypted.gpg：若输出含 PGP RSA 或 PGP DSA，大概率是非对称；若含 IDEA、AES、3DES 且无密钥标识，基本是对称加密

常见错误现象与绕过方法

命令执行后卡住、报错或输出乱码，别急着重装 GPG，先查这几处。

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

• 报错 gpg: decryption failed: No secret key：私钥缺失或 UID 不匹配。用 gpg --list-packets encrypted.gpg 2>/dev/null | grep -A2 "keyid\|issuer" 查加密时用的 keyid，再比对 gpg -K --keyid-format long 输出
• 终端里输密码没反应、光标不动：可能是 TTY 环境下 pinentry 程序没起来。临时改用 echo "mypass" | gpg --pinentry-mode loopback --passphrase-fd 0 --decrypt encrypted.gpg（需提前配置 allow-loopback-pinentry）
• 解密后内容是空或乱码：可能是输出被重定向到了不可写路径，或用了 -o 但目标目录不存在。优先用 gpg -d encrypted.gpg > out.txt，避免 --output 路径权限问题
• Mac 上用 Homebrew 安装的 GPG 报 gpg: signing failed: Inappropriate ioctl for device：这是 pinentry 冲突，删掉 ~/.gnupg/gpg-agent.conf 里的 pinentry-program 行，重启 agent：gpgconf --kill gpg-agent

安全与兼容性提醒

生产环境解密，别只盯着“能不能跑通”，还得看“靠不靠得住”。

• 老版本 GPG（如 1.x）加密的文件，GPG 2.3+ 可能默认禁用某些算法（如 CAST5、RSA-1024）。遇到 gpg: encrypted with 1024-bit RSA key + decryption failed，加 --cipher-algo AES256 --digest-algo SHA256 强制指定，或降级用 gpg1 命令（如果系统装了）
• 私钥口令强度不够，或保存在未加密的磁盘上，解密成功也等于白忙——gpg --export-secret-keys 导出私钥前务必用 gpg --symmetric 再包一层
• 脚本中自动解密？别硬编码密码。用 gpg --batch --passphrase-fd 0 从 stdin 读，配合 systemd 的 LoadCredential= 或 pass 工具管理凭据

实际解密动作本身很简单，难的是把密钥状态、加密上下文和环境配置对齐。很多“解不开”的问题，本质是不知道当初怎么加密的——建议每次加密后顺手记一行 gpg --list-packets file.gpg | head -n10 到 README 里。