验证gpg签名而不安装密钥

Question

如何在不安装公钥的情况下验证gpg签名（cli或w/node js）？我有公钥，但不想将其添加到密钥环中。任何提示？

感谢， 弗洛里安

Answer 1

这里有一个shell脚本，我使用的只是目的。它创建一个临时密钥环，在其中安装指定的公钥，运行指定的命令，然后删除临时密钥环。

请注意，这将从密钥服务器安装密钥。调整它以使用磁盘上已有的密钥并不困难（并且我应该添加一个选项来做到这一点）。

更新：见https://github.com/Keith-S-Thompson/gpg-tmp

#!/bin/sh 

keyid=$1 
shift 
case "$keyid" in 
    ????????) 
     ;; 
    *) 
     echo "Usage: $0 key args..." 1>&2 
     exit 1 
esac 

tmp_keyring=$HOME/$keyid-keyring.gpg 

gpg --no-default-keyring --keyring $tmp_keyring --recv-keys $keyid 
gpg --no-default-keyring --keyring $tmp_keyring "$@" 
rm -f $tmp_keyring 

它的作用就像gpg命令，但需要一个额外的初始参数指定8位密钥ID。

使用范例：

$ gpg coreutils-8.9.tar.gz.sig 
gpg: Signature made Tue 04 Jan 2011 07:04:25 AM PST using RSA key ID 000BEEEE 
gpg: Can't check signature: public key not found 
$ gpg-tmp 000BEEEE coreutils-8.9.tar.gz.sig 
gpg: keyring `/home/kst/000BEEEE-keyring.gpg' created 
gpg: requesting key 000BEEEE from hkp server subkeys.pgp.net 
gpg: key 000BEEEE: public key "Jim Meyering <jim@meyering.net>" imported 
gpg: no ultimately trusted keys found 
gpg: Total number processed: 1 
gpg:    imported: 1 (RSA: 1) 
gpg: Signature made Tue 04 Jan 2011 07:04:25 AM PST using RSA key ID 000BEEEE 
gpg: Good signature from "Jim Meyering <jim@meyering.net>" 
gpg:     aka "Jim Meyering <meyering@gnu.org>" 
gpg:     aka "Jim Meyering <meyering@redhat.com>" 
gpg: WARNING: This key is not certified with a trusted signature! 
gpg:   There is no indication that the signature belongs to the owner. 
Primary key fingerprint: 155D 3FC5 00C8 3448 6D1E EA67 7FD9 FCCB 000B EEEE 

请记住，这告诉你绝对没有关于密钥的可信度，但它是作为一个完整性检查是有用的。

（我不知道吉姆Meyering多少个键产生之前，他得到了一个。）

Answer 2

我并不需要太多，gpg --dry-run（或gpg -n）为我工作。我通过Homebrew在Mac上运行gpg 1.4.12，但它似乎是一个标准选项。不知道它与这里提到的其他方法相比如何。