>

用 gpg --verify 校验下载文件的签名

确认下载文件确实出自开发者本人，传输途中没有被篡改。

Linux验证签名安全GPG 加密低风险
先导入项目公钥，然后执行 gpg --verify 文件.tar.gz.sig 文件.tar.gz，看到 'Good signature from ...' 即通过。

01命令

命令
$ gpg --verify program.tar.gz.sig program.tar.gz

02作用说明

分离式签名（.sig/.asc）是开发者用私钥对整个文件生成的密码学指纹。gpg --verify 会用你密钥环里的公钥重新计算比对，报告文件是否被改动以及签名者是谁。典型流程：先用 gpg --recv-keys <KEYID> 或导入密钥文件获取公钥，再验证签名，最后最好对照官网公布的指纹确认这把钥匙本身。

03风险

风险低风险
使用条件gnupg package; preinstalled on most distros. You must have the project's public key imported first (gpg --import or gpg --recv-keys).
!注意: 只有 'Good signature' 并不保险——任何人都能生成叫任何名字的密钥，务必通过官网 HTTPS 页面或发布公告等渠道核对密钥指纹。出现“过期”或“不信任”提示通常只是本地密钥设置问题，但指纹比对这一步永远不能省。

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

  • gpg(1) - Ubuntu manpage
    Ubuntu Manpages · community · 2026-09-17
    依据: Same gpg manual: --verify verifies signatures, --list-keys lists the keyring needed to make verification meaningful.
  • gpg(1) — Arch Manual Pages
    Arch Linux · community · 2026-09-17
    依据: Documents --verify (check a signature against a file), --list-keys and --detach-sign for detached signature workflows.

最后验证: 2026-09-19 · 分类: 安全与隐私

06相关方案

用 ssh-keygen 生成 SSH 密钥对（Ed25519）
Linux终端开发安全

在 ~/.ssh 中生成现代的 Ed25519 公私钥对，用于免密码登录服务器和使用 Git 托管平台。

低风险 ✓ 2026-09-17
用 chmod 修改文件权限
Linux文件终端安全

用符号模式或八进制模式为属主、属组或其他用户添加/移除读、写、执行权限。

中风险 ✓ 2026-09-17
用 ufw 放行防火墙端口
Linux网络安全

添加一条 UFW 规则，允许某个 TCP 或 UDP 端口的入站流量，例如 22 端口的 SSH。

高风险 ✓ 2026-09-17