必须先导入接收方公钥才能用gpg --encrypt加密；若仅自用，可用gpg --symmetric AES256进行对称加密，无需密钥环。
用 gpg --encrypt 加密前必须有接收方公钥
很多人执行 gpg --encrypt --recipient "Alice" 报错 gpg: Alice: skipped: No public key，根本原因不是命令写错，而是你本地没导入 Alice 的公钥。GPG 是基于公钥体系的，它不会自动联网查公钥，也不会用你自己的密钥去“替”别人加密。
- 对方得先用
gpg --export -a "Alice" > alice.pub导出公钥，再发给你 - 你运行
gpg --import alice.pub导入后，gpg -k才能看到Alice出现在公钥列表里 - 如果只是自己加密自己用，就用自己名字（或邮箱）作为
--recipient，前提是已生成过密钥对 - 别用
--default-recipient图省事——它只影响签名行为，对--encrypt无效
gpg --symmetric 更适合单人快速加密，但别误当“免密钥版 GPG”
想临时给一个文件加个密码、不涉及他人？直接用对称加密更简单：gpg --symmetric --cipher-algo AES256 document.txt。它不依赖密钥环，输一次密码就生成 document.txt.gpg。
- 它本质是用密码派生密钥，不是“绕过 GPG”，所以仍需安装 gnupg，也受 GPG 版本算法支持限制
- OpenPGP 标准下，
--symmetric默认用 CAST5，老版本 GPG（--cipher-algo - 解密时不用
--decrypt加参数，直接gpg document.txt.gpg，输对密码就自动解密到 stdout；加--output才写文件 - 注意：这种模式下没有“签名”能力，无法验证文件是否被篡改，仅防窥视
目录不能直接加密，但有三个靠谱替代方案
gpg 命令本身不接受目录路径，gpg -e dir/ 会报错 can't open dir/: Is a directory。这不是 bug，是设计使然——OpenPGP 规范只定义了数据流加密，没定义目录结构封装。
- 最常用：先打包再加密 ——
tar -cf docs.tar docs/ && gpg --encrypt --recipient "Me" docs.tar - 想保留压缩：用
tar -czf docs.tgz docs/ && gpg --symmetric docs.tgz，一步到位且体积小 - 需要频繁挂载访问？改用
gocryptfs或encfs这类 FUSE 加密文件系统，它们在用户态实现透明加解密，但和 GPG 不兼容 - 别用
zip -e混充 —— ZIP 密码是弱加密（传统 PKZIP），且无完整性校验，GPG 用户容易低估风险
解密失败常见于密码短语、密钥权限、输出路径三处
运行 gpg --decrypt file.gpg 卡住、报 decryption failed: No secret key 或静默无输出，大概率不是密钥丢了，而是环境或操作细节没对上。
- 私钥有密码短语（passphrase）——不是登录系统密码，也不是 ZIP 解压密码，是当初
gpg --gen-key时自己设的那串，输错就卡住 - 私钥被导出过又重新导入？检查
gpg -K输出里有没有[expires: ...]或[revoked]，过期或撤销的私钥无法解密 - 用
--output指定解密目标时，路径必须可写；若省略该参数，解密内容直接打印到终端——二进制内容会乱 terminal，看起来像“没反应” - 别把
.gpg文件 chmod 777 —— GPG 会拒绝读取权限过宽的私钥文件（如~/.gnupg/private-keys-v1.d/下文件），这是安全强制策略
真正麻烦的不是命令记不住，而是搞混“谁加密、用谁的密钥、谁来解密”这三层关系。比如用自己公钥加密的文件，必须用自己的私钥+对应密码短语才能解开；而用别人公钥加密的，你连看都看不到明文——这点一旦想反，后面所有调试都是徒劳。
