Azure Linux版Durable Function App中PGP解密无密钥错误排查

问题根源 #

1. /home/.gnupg目录权限不安全：Azure Linux Function运行用户并非root，默认GPG目录的所有者为root，导致无法正常访问私钥。
2. gpg-agent无法在无交互式环境中启动：Azure Function的运行环境没有桌面交互，gpg-agent启动失败后无法加载私钥。

解决方案 #

1. 使用自定义GPG工作目录（规避权限问题） #

在函数代码中指定临时目录作为GPG的工作目录，确保运行用户拥有读写权限：

import os
import gnupg
import base64

# 用函数临时目录创建独立的GPG工作目录
gpg_home = os.path.join(os.environ.get("TEMP", "/tmp"), ".gnupg")
os.makedirs(gpg_home, exist_ok=True)
os.chmod(gpg_home, 0o700)  # 设置目录权限为当前用户可读可写

# 初始化GPG实例，禁用agent并指定自定义目录
gpg = gnupg.GPG(
    gnupghome=gpg_home,
    options=["--no-agent", "--pinentry-mode=loopback"]
)

2. 确保私钥正确导入并信任 #

导入私钥后需验证导入结果，并设置密钥信任级别：

# 解码并导入私钥
private_key_bytes = base64.b64decode(self.pgpkey)
import_result = gpg.import_keys(private_key_bytes, passphrase=self.config.keypassphrase)

# 验证私钥导入状态
if not import_result.fingerprints:
    raise RuntimeError(f"私钥导入失败：{import_result.stderr}")

# 设置密钥信任级别（避免GPG因不信任密钥拒绝解密）
for fp in import_result.fingerprints:
    gpg.trust_keys(fp, "TRUST_ULTIMATE")

3. 解密时指定非交互式参数 #

解密时添加--pinentry-mode=loopback，允许直接传递passphrase：

decrypted_data = gpg.decrypt(
    encrypted_data,
    passphrase='mypassphrase',
    options=["--pinentry-mode=loopback"]
)

if not decrypted_data.ok:
    raise RuntimeError(f"解密失败：{decrypted_data.stderr}")

4. （可选）修复默认GPG目录权限（仅SSH调试用） #

如果需要通过SSH调试密钥状态，执行以下命令修复/home/.gnupg的权限：

chown -R www-data:www-data /home/.gnupg
chmod -R 700 /home/.gnupg

关键说明 #

• 禁用gpg-agent是核心：Azure Function的无交互环境无法支撑agent运行，直接跳过agent可避免启动失败问题。
• 自定义GPG目录避免权限冲突：临时目录的所有者为函数运行用户（通常是www-data），不会出现权限不安全的警告。
• --pinentry-mode=loopback强制非交互式输入：确保passphrase能直接传递给GPG，无需弹出输入框。

内容的提问来源于stack exchange，提问作者satya sobhan