AWS Lambda中GnuPG加密报错：gpg返回非零错误码2

核心原因 #

GnuPG错误码2通常指向输入数据格式无效，结合你的场景，大概率是公钥导入失败，导致加密时找不到有效密钥，问题集中在公钥格式、代码变量错误或环境配置上。

分步解决方案 #

1. 修复代码变量名错误 #

你的导入公钥代码存在明显笔误，直接导致读取不到正确的密钥内容：

# 错误代码
public_key_str = private_key_secret["public_key_file"]

# 修正后
public_key_str = public_key_secret["public_key_file"]

2. 标准化公钥格式（解决Secret Manager存储的格式问题） #

Secret Manager粘贴公钥时易引入格式问题，按以下步骤清理：

• 去除多余空格：确保公钥开头行-----BEGIN PGP PUBLIC KEY BLOCK-----和结尾行-----END PGP PUBLIC KEY BLOCK-----没有前置空格（你提供的公钥开头有4个多余空格，必须删除）。
• 统一换行符：将公钥字符串中的\r\n（Windows换行）替换为\n（Linux换行），Lambda运行在Linux环境，GnuPG仅识别\n：

  public_key_str = public_key_str.replace('\r\n', '\n')
  

• 清理冗余空行：确保公钥块内部只保留必要空行，首尾无多余空行。

3. 验证公钥导入结果 #

在导入公钥后强制检查状态，获取具体错误信息，不要等到加密阶段才报错：

import gnupg
import shutil

# 清理旧的GnuPG目录，避免干扰
shutil.rmtree('/tmp/.gnupg', ignore_errors=True)

gpg = gnupg.GPG(gnupghome='/tmp', gpgbinary='/usr/bin/gpg')
public_key_secret = fetch_secret(PUBLIC_KEY_SECRET_NAME)
public_key_str = public_key_secret["public_key_file"]

# 标准化格式
public_key_str = public_key_str.replace('\r\n', '\n').strip()

# 导入并检查结果
import_result = gpg.import_keys(public_key_str)
if import_result.count == 0:
    raise RuntimeError(f"公钥导入失败: {import_result.stderr}")

import_result.stderr会给出GnuPG的具体错误提示，比如“invalid OpenPGP data”，能精准定位格式问题。

4. 确认Lambda中GnuPG环境配置 #

• 验证ECR镜像中/usr/bin/gpg路径存在，可在镜像构建时添加RUN which gpg确认。
• Lambda的/tmp目录每次调用重置，若需保留密钥环可挂载EFS，否则每次调用重新导入即可。

5. 加密阶段的额外检查 #

• 确认加密时指定的收件人xxxx@gmail.com与公钥中的邮箱完全匹配，可通过以下代码查看已导入密钥：

  keys = gpg.list_keys()
  for key in keys:
      print(f"已导入密钥邮箱: {key['uids']}")
  

• 避免依赖always_trust=True，建议导入后显式信任密钥：

  gpg.trust_keys(['xxxx@gmail.com'], 'TRUST_ULTIMATE')
  

测试建议 #

用Docker运行你的ECR镜像模拟Lambda环境，打印公钥字符串的原始内容，对比本地正常工作的公钥格式，快速定位差异。

内容的提问来源于stack exchange，提问作者Andy Pham