CentOS RPM包签名验证（手把手教你保障系统软件安全）

来源：这里教程网时间：2026-03-01 12:27:16 作者：

在使用 CentOS 系统时，我们经常通过

yum

或

dnf

安装软件包。这些软件包通常以 RPM 格式分发。为了确保你安装的软件来自可信来源且未被篡改，RPM 包签名验证 是一项至关重要的安全机制。本教程将带你从零开始，详细讲解如何配置和验证 CentOS RPM包签名验证，即使是 Linux 新手也能轻松上手。

什么是 RPM 包签名？

RPM 包签名是使用 GPG（GNU Privacy Guard） 对软件包进行数字签名的过程。签名包含两个关键作用：

✅ 身份验证：确认软件包确实来自官方或可信开发者。 ✅ 完整性校验：确保软件包在传输过程中未被修改或损坏。

当你启用 RPM GPG签名 验证后，系统会在安装前自动检查每个 RPM 包的签名是否有效。如果签名无效或缺失，安装将被拒绝，从而防止恶意软件入侵。

步骤一：检查当前 YUM 仓库是否启用了 GPG 检查

首先，查看你的 YUM 仓库配置文件是否启用了 GPG 验证。仓库配置文件通常位于

/etc/yum.repos.d/

目录下。

# 查看 CentOS 官方仓库配置$ cat /etc/yum.repos.d/CentOS-Base.repo

在输出中，寻找类似以下的配置项：

[base]name=CentOS-$releasever - Basemirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os&infra=$infra#baseurl=http://mirror.centos.org/centos/$releasever/os/$basearch/gpgcheck=1gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7enabled=1

关键参数说明：

gpgcheck=1

：表示启用 GPG 签名验证（1 为启用，0 为禁用）。

gpgkey=...

：指定用于验证的公钥文件路径。

???? 建议：始终确保
gpgcheck=1
，这是保障 CentOS软件包安全 的基础。

步骤二：导入官方 GPG 公钥

如果你的系统尚未导入 CentOS 官方 GPG 公钥，需要手动导入。以 CentOS 7 为例：

# 导入 CentOS 7 官方 GPG 公钥sudo rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7

如果你使用的是 CentOS 8 或 Stream，公钥路径可能略有不同，例如：

# CentOS 8sudo rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-centosofficial

你可以通过以下命令列出已导入的 GPG 密钥：

rpm -q gpg-pubkey --qf '%{NAME}-%{VERSION}-%{RELEASE}\t%{SUMMARY}\n'

步骤三：测试 RPM 包签名验证

现在尝试安装一个软件包，观察是否触发签名验证：

sudo yum install -y wget

如果一切正常，你会看到类似如下信息（无错误）：

Verifying : wget-1.14-18.el7_6.1.x86_64...Installed:  wget.x86_64 0:1.14-18.el7_6.1

如果出现

Public key for ... is not installed

错误，说明 GPG 公钥未正确导入，请回到上一步操作。

常见问题与解决方案

Q1：如何临时跳过 GPG 验证？

虽然不推荐，但在某些调试场景下可以临时跳过：

sudo yum install --nogpgcheck package-name

⚠️ 警告：仅在可信环境下使用
--nogpgcheck
，否则可能引入恶意软件。

Q2：自建 YUM 仓库如何添加签名？

如果你维护自己的 RPM 仓库，可以使用

createrepo

和 GPG 私钥对包签名：

# 1. 创建 GPG 密钥（如尚未有）gpg --gen-key# 2. 导出公钥供客户端使用gpg --export -a "Your Name" > RPM-GPG-KEY-yourcompany# 3. 对 RPM 包签名rpm --addsign your-package.rpm# 4. 生成带签名的仓库元数据createrepo --database --pretty /path/to/repo