Linux软件包GPG信任链分四阶段：预置密钥为信任锚、导入密钥启用校验、仓库配置开启gpgcheck并指定gpgkey、密钥更新时同步公钥、导入和元数据刷新。
Linux 软件包仓库依赖 GPG 密钥来确保软件来源可信、内容未被篡改。这套机制不是“装个密钥就完事”，而是一套有明确分工、分阶段执行的信任链管理流程。
密钥预置是信任的起点
官方发行版（如 RHEL、CentOS、Rocky Linux、Fedora）在系统安装时，会将权威公钥预先放入 /etc/pki/rpm-gpg/ 目录。例如：/etc/pki/rpm-gpg/RPM-GPG-KEY-centosofficial/etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release
这些文件是签名验证的“信任锚”，由发行方严格控制，不可随意替换或删除。
密钥导入是启用校验的前提
仅把公钥文件放对位置还不够，必须将其注册进 RPM 数据库，系统才认可它可用于签名验证。常用操作是：rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-centosofficial
该命令将公钥指纹写入本地 RPM trustdb，后续 dnf install 或 rpm -K 才会调用它校验元数据和包体。
仓库配置需明确启用 GPG 校验
在 /etc/yum.repos.d/*.repo 文件中，以下两项决定是否走签名验证：
-
gpgcheck=1：开启 GPG 签名检查（默认建议开启）
-
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-centosofficial：指定用于校验该仓库的公钥路径
若gpgcheck=0，即使密钥存在，系统也会跳过验证，带来安全风险。
密钥更新要同步元数据与信任状态
当发行方轮换密钥（如旧密钥过期、新密钥启用），需同步完成三件事：
- 下载新版公钥到
/etc/pki/rpm-gpg/
- 执行
rpm --import导入新密钥
- 运行
dnf clean metadata && dnf makecache刷新仓库索引
否则可能出现 “signature verification failed” 错误，导致无法安装或更新软件包。
不复杂但容易忽略
