本文详细讲解如何使用 go 语言（借助 gopenpgp 库）安全地生成 rsa/openpgp 密钥对，并以 passphrase 加密私钥后导出为 ascii-armored 格式，确保私钥在存储或传输前得到强密码保护。
本文详细讲解如何使用 go 语言（借助 gopenpgp 库）安全地生成 rsa/openpgp 密钥对，并以 passphrase 加密私钥后导出为 ascii-armored 格式，确保私钥在存储或传输前得到强密码保护。
OpenPGP 标准要求私钥必须经过对称加密（如 AES-256）保护，才能安全导出。Go 官方 golang.org/x/crypto/openpgp 包已归档且不再维护，不推荐用于新项目；取而代之的是功能完备、 actively maintained 的 gopenpgp/v2 —— 它原生支持 passphrase 加密的密钥生成与序列化。
以下是一个完整、可运行的示例，展示如何生成带密码保护的 OpenPGP 密钥对：
package main
import (
"fmt"
"strings"
"github.com/ProtonMail/gopenpgp/v2/crypto"
"github.com/ProtonMail/gopenpgp/v2/helper"
)
func main() {
name := "Max Mustermann"
email := "max@example.com"
passphrase := []byte("LongSecret") // ⚠️ 生产环境请使用 cryptographically secure 随机生成的强密码
rsaBits := 4096 // 推荐至少 4096 位（原示例中 2048*2 实际即 4096）
// 生成加密的私钥 + 公钥（自动用 passphrase 加密私钥部分）
armoredKey, err := helper.GenerateKey(name, email, passphrase, "rsa", rsaBits)
if err != nil {
panic(fmt.Sprintf("密钥生成失败: %v", err))
}
fmt.Println("✅ 已生成加密的 ASCII-armored 密钥（含加密私钥和公钥）：")
fmt.Println(armoredKey)
// 解析密钥环（验证可正确加载）
keyRing, err := crypto.NewKeyFromArmoredReader(strings.NewReader(armoredKey))
if err != nil {
panic(fmt.Sprintf("密钥解析失败: %v", err))
}
// 提取公钥（无密码需求，可公开分发）
publicKey, err := keyRing.GetArmoredPublicKey()
if err != nil {
panic(fmt.Sprintf("公钥提取失败: %v", err))
}
fmt.Println("\n? 公钥（可用于 GnuPG 导入或加密）：")
fmt.Println(publicKey)
// ✅ 验证私钥是否受密码保护：尝试用错误密码解密将失败
// （实际应用中，可通过 keyRing.DecryptPrivateKey([]byte("wrong")) 测试）
}? 关键说明与注意事项：
-
helper.GenerateKey内部调用crypto.GenerateKey并自动使用passphrase对私钥进行 AES-256 加密，符合 RFC 4880 规范； - 输出的
armoredKey是标准 PGP PRIVATE KEY BLOCK（以-----BEGIN PGP PRIVATE KEY BLOCK-----开头），其中私钥部分已被加密，必须提供正确 passphrase 才能解密使用； - 公钥（
GetArmoredPublicKey()）始终明文输出，无需密码，可安全共享； - 密码应满足高熵要求（建议 ≥12 字符，含大小写字母、数字、符号），避免硬编码——生产环境请通过安全方式（如环境变量、密钥管理服务）注入；
- 若需兼容 GnuPG 导入，请确保导出格式为 ASCII armor（本例默认满足），且 passphrase 符合 GnuPG 的 S2K 参数偏好（
gopenpgp默认使用SHA2-256 + AES-256，与现代 GnuPG 兼容）。
运行前初始化模块：
go mod init gpg go mod tidy go run main.go
最终生成的私钥块在导入 GnuPG 时会提示输入 passphrase，验证其加密有效性。这是构建安全密钥管理、端到端加密通信或签名服务的基础实践。
