在使用 Ubuntu 或其他基于 Debian 的 Linux 发行版时，你可能会注意到系统在安装软件包前会进行“签名验证”。这个过程至关重要，它能确保你下载的软件来自可信源，且未被篡改。本文将带你从零开始理解并操作 Ubuntu软件包签名验证，即使是 Linux 新手也能轻松掌握。
什么是软件包签名验证？
Ubuntu 使用 APT（Advanced Package Tool）来管理软件包。为了防止恶意软件或中间人攻击，APT 会对每个软件仓库中的软件包进行数字签名。这些签名由仓库维护者使用 GPG（GNU Privacy Guard）密钥生成。当你运行
apt update或
apt install时，系统会自动验证这些签名是否合法。
为什么需要 GPG 密钥？
GPG 密钥是一对加密密钥：公钥和私钥。仓库维护者用私钥对软件包签名，而你的系统则用对应的公钥来验证签名。如果你的系统没有正确的公钥，APT 就无法验证软件包，会报错如：
W: GPG error: http://example.com/ubuntu focal InRelease: The following signatures couldn't be verified because the public key is not available: NO_PUBKEY ABCDEFGHIJKLMNOP
如何添加缺失的 GPG 公钥？
如果你遇到上述错误，说明系统缺少对应仓库的公钥。以下是修复步骤：
方法一：使用 apt-key（旧方法，已弃用但部分系统仍可用）
sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys ABCDEFGHIJKLMNOP
方法二：推荐方式 —— 将密钥保存到 /etc/apt/trusted.gpg.d/
由于
apt-key已被弃用（出于安全考虑），官方推荐将密钥单独存放在
/etc/apt/trusted.gpg.d/目录中。
# 下载公钥curl -fsSL https://example.com/repo-key.gpg | sudo gpg --dearmor -o /etc/apt/trusted.gpg.d/myrepo.gpg# 或者从密钥服务器获取gpg --keyserver keyserver.ubuntu.com --recv-keys ABCDEFGHIJKLMNOPgpg --export --armor ABCDEFGHIJKLMNOP | sudo tee /etc/apt/trusted.gpg.d/myrepo.asc
验证当前系统信任的密钥
你可以列出所有已信任的 GPG 密钥：
sudo apt-key list
或者查看
/etc/apt/trusted.gpg.d/目录中的文件：
ls /etc/apt/trusted.gpg.d/
常见问题与最佳实践
不要随意添加未知来源的 GPG 密钥：这可能导致恶意软件被当作“可信”安装。 定期更新系统：sudo apt update && sudo apt upgrade可确保你使用最新的安全补丁和密钥。 对于第三方仓库（如 Docker、VSCode），务必从其官网获取正确的 GPG 密钥和仓库地址。
总结
Ubuntu软件包签名验证 是保障系统安全的重要机制。通过理解 APT签名验证 原理、掌握 GPG密钥管理 方法，并遵循 Debian包验证 最佳实践，你可以有效防止软件供应链攻击，确保系统稳定与安全。
希望这篇教程能帮助你彻底搞懂 Ubuntu 的软件包验证机制！如有疑问，欢迎在评论区留言交流。
