验证 RPM 包的签名信息可以确保软件包来自可信来源且未被篡改。Linux 中使用 GPG 签名来保证 RPM 包的完整性与真实性。以下是验证 RPM 包签名的常用方法。
1. 检查系统是否已导入 GPG 公钥RPM 使用 GPG 公钥验证签名。大多数发行版在安装时会自动导入官方密钥。你可以列出已导入的密钥：
rpm -q gpg-pubkey如果看到类似 gpg-pubkey-xxxxxx 的输出，说明已有公钥导入。
2. 验证 RPM 包的签名
使用以下命令检查某个 RPM 文件的签名信息：
rpm --checksig 包名.rpm例如：
rpm --checksig httpd-2.4.6-97.el7.centos.x86_64.rpm正常输出应包含：
- digests signatures OK：表示哈希校验和签名都通过
- NOT OK (MISSING KEYS)：表示缺少对应的 GPG 公钥
3. 手动导入 GPG 公钥（如缺失）
如果提示缺失密钥，需先导入对应的 GPG 公钥。通常密钥文件位于：
Post AI
博客文章AI生成器
50
查看详情
/etc/pki/rpm-gpg/
以 CentOS/RHEL 为例，导入默认密钥：
rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-7你也可以从官网下载密钥后导入。
4. 安装前自动验证签名
RPM 默认会在安装时自动验证签名。你也可以显式启用验证：
rpm -K 包名.rpm该命令会检查：
- PGP 签名
- SHA 哈希
- 是否已导入对应公钥
输出示例：
httpd-2.4.6-97.el7.rpm: rsa sha1 (md5) pgp md5 OK若所有项显示 OK，说明包完整且签名有效。
基本上就这些。只要系统有正确的 GPG 公钥，验证签名就是自动且可靠的过程。不复杂但容易忽略。
以上就是Linux怎么验证rpm包的签名信息的详细内容，更多请关注知识资源分享宝库其它相关文章！
相关标签： linux centos linux centos 大家都在看： Linux如何检查软件包更新的时间和日志 Linux怎么查询deb包的详细信息 Linux怎么验证rpm包的签名信息 Linux如何查看软件包的依赖关系树 Linux如何卸载deb软件包并清理配置文件
发表评论:
◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。