如何不导入密钥文件，使用GPG完成消息的加密、签名与解密？

好消息！GPG其实支持在不导入密钥到默认密钥环的前提下完成加密、签名和解密操作——你只需要利用临时密钥环来隔离不同实验的密钥环境，完全不会干扰你的全局密钥存储。下面是具体的实现步骤：

一、加密并签名消息（发送方视角） #

我们需要先将接收方的公钥和发送方的私钥导入到临时创建的密钥环中（这些密钥环仅存在于当前实验目录，用完可删除），再执行加密签名操作：

1. 创建临时公钥环和私钥环，导入对应密钥：

# 导入接收方公钥到临时公钥环
gpg --batch --yes --no-default-keyring --keyring ./temp-pub.kbx --import public-recipient.asc

# 导入发送方私钥到临时私钥环
gpg --batch --yes --no-default-keyring --secret-keyring ./temp-sec.kbx --import private-sender.asc

2. 执行加密+签名操作：

echo HELLO STACK OVERFLOW | gpg --no-default-keyring --keyring ./temp-pub.kbx --secret-keyring ./temp-sec.kbx \
  --encrypt --armor --recipient recipient@example.com \
  --sign --local-user sender@example.com > encrypted-message.txt

注意：请将recipient@example.com和sender@example.com替换为你密钥对应的邮箱或指纹。如果不确定，可以用下面的命令查看临时密钥环里的密钥信息：

gpg --no-default-keyring --keyring ./temp-pub.kbx --list-keys
gpg --no-default-keyring --secret-keyring ./temp-sec.kbx --list-secret-keys

3. （可选）如果实验完成后不需要保留临时密钥环，直接删除即可：

rm temp-pub.kbx temp-sec.kbx

二、解密并验证签名（接收方视角） #

同样，接收方也需要创建临时密钥环，导入自己的私钥和发送方的公钥，再执行解密验签：

1. 导入密钥到临时密钥环：

# 导入接收方私钥到临时私钥环
gpg --batch --yes --no-default-keyring --secret-keyring ./temp-recipient-sec.kbx --import private-recipient.asc

# 导入发送方公钥到临时公钥环
gpg --batch --yes --no-default-keyring --keyring ./temp-sender-pub.kbx --import public-sender.asc

2. 解密并验证签名：

cat encrypted-message.txt | gpg --no-default-keyring --keyring ./temp-sender-pub.kbx --secret-keyring ./temp-recipient-sec.kbx --decrypt

执行后你会看到原始消息HELLO STACK OVERFLOW，同时GPG会自动验证签名的有效性。

3. （可选）清理临时密钥环：

rm temp-recipient-sec.kbx temp-sender-pub.kbx

关键参数说明 #

• --no-default-keyring：告诉GPG不要加载默认的全局密钥环（避免干扰）
• --keyring：指定本次操作使用的公钥环文件（.kbx是GPG现代密钥环格式，也可使用.gpg老格式）
• --secret-keyring：指定本次操作使用的私钥环文件
• --batch & --yes：开启非交互模式，自动确认导入操作，适合脚本化执行

脚本化优化（可选） #

如果你需要频繁重复实验，可以把上述步骤写成脚本。比如创建encrypt-sign.sh：

#!/bin/bash
# 导入密钥到临时环
gpg --batch --yes --no-default-keyring --keyring ./temp-pub.kbx --import public-recipient.asc
gpg --batch --yes --no-default-keyring --secret-keyring ./temp-sec.kbx --import private-sender.asc
# 加密签名
echo "$1" | gpg --no-default-keyring --keyring ./temp-pub.kbx --secret-keyring ./temp-sec.kbx \
  --encrypt --armor --recipient recipient@example.com \
  --sign --local-user sender@example.com > encrypted-message.txt
# 清理临时文件
rm temp-pub.kbx temp-sec.kbx

调用时只需传入要加密的内容：./encrypt-sign.sh "HELLO STACK OVERFLOW"

同理可编写decrypt-verify.sh脚本，进一步简化操作。

这种方式完美满足你在不同目录开展独立实验的需求，每个实验的密钥环境完全隔离，不会互相影响，也不会污染全局密钥存储。

内容的提问来源于stack exchange，提问作者Alex028502