关于无法独立验证Arch Linux开发者个人密钥是否被主签名密钥签名的技术问询

别担心，这个验证肯定是能做到的，应该是你操作流程里漏了几个关键步骤，我帮你梳理下正确的做法：

首先，先明确核心问题：你导入了主密钥，但可能没把它们标记为可信根密钥，而且获取开发者密钥时可能没拿到完整的签名信息。

• 步骤1：确保Arch主密钥被标记为终极信任
  Arch的主密钥是整个信任链的起点，你不仅要导入它们，还要让gpg知道这些是你完全信任的根密钥：

  1. 打开gpg编辑模式：gpg --edit-key 0x77514E00（把ID换成你要标记的主密钥ID，逐个处理或者一次性处理多个）
  2. 在交互界面输入trust，然后选择5（表示I trust ultimately），确认后退出。
  3. 对另外两个主密钥0x7BE9892E和0x037F4F41重复这个操作。

• 步骤2：完整获取Pierre Schmitz的密钥（带签名）
  有时候仅用密钥ID拉取可能只拿到密钥本身，没同步到所有签名数据，建议指定可靠的密钥服务器重新拉取：

  gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 0x3E80CA1A8B89F69CBA57D98A76A5EF9054449A5C
  

  如果还是不行，可以换hkps://pgp.mit.edu这类常用服务器试试，不同服务器的同步速度可能有差异。

• 步骤3：查看并验证签名
  现在用以下命令查看所有签名：

  gpg --list-sigs 0x3E80CA1A8B89F69CBA57D98A76A5EF9054449A5C
  

  你应该能在输出里看到那三个主密钥ID对应的签名记录。如果要验证这些签名是否有效，用：

  gpg --check-sigs 0x3E80CA1A8B89F69CBA57D98A76A5EF9054449A5C
  

  只要你已经正确标记了主密钥为终极信任，gpg就会显示这些签名是有效的。

可能的误区解释 #

• 你之前可能只是导入了主密钥，但没设置信任级别：gpg默认不会自动信任任何导入的密钥，哪怕是官方主密钥，必须手动标记信任才能让它认可这些密钥的签名。
• 密钥服务器同步延迟：有些服务器可能还没同步到完整的签名数据，换个服务器就能解决。

放心，Arch的安全模型就是基于主密钥签名开发者密钥的信任链，这个独立验证是完全可行的，按照上面的步骤来应该就能看到你要的签名信息了。

备注：内容来源于stack exchange，提问作者bluesquare