如何用Sequoia Rust crate验证加密消息是否由CA签名

Sequoia的PGP验证逻辑默认不会自动处理CA信任链，需要手动配置信任根并验证签名者证书的签发链。以下是具体实现步骤：

1. 加载CA信任根 #

首先将CA证书加载为信任根，存入根证书存储：

use sequoia_openpgp::cert::Cert;
use sequoia_openpgp::cert::store::RootCertStore;
use sequoia_openpgp::parse::Parse;

// 从文件加载CA证书（确保是PEM/PGP格式）
let ca_cert = Cert::from_file("ca_root.crt")?;
let mut root_store = RootCertStore::new();
// 将CA证书添加到信任根存储
root_store.add(&ca_cert)?;

2. 验证消息签名与证书链 #

使用标准策略构建验证器，绑定信任根后，不仅要验证签名有效性，还要检查签名者证书是否能追溯到CA：

use sequoia_openpgp::Message;
use sequoia_openpgp::policy::StandardPolicy;
use sequoia_openpgp::verify::Verifier;

// 加载待验证的签名消息
let message = Message::from_file("signed_msg.pgp")?;
// 使用Sequoia内置的标准验证策略（可自定义）
let policy = StandardPolicy::new();

// 初始化验证器并绑定策略与信任根
let mut verifier = Verifier::from_message(&message)?;
verifier.set_policy(&policy);
verifier.set_root_store(&root_store);

// 遍历所有签名并验证
for verification in verifier.verify()? {
    let sig_result = verification?;
    // 获取签名者的证书
    let signer_cert = sig_result.signer_cert()?;
    
    // 验证签名者证书是否由CA（或信任链中的上级）签发
    match policy.verify_cert(&signer_cert, &root_store, None) {
        Ok(_chain) => println!("签名有效：由CA签发的证书签署"),
        Err(e) => eprintln!("验证失败：{}", e),
    }
}

关键注意事项 #

• 确保CA证书是自签名的，Sequoia仅将自签名证书视为合法信任根
• 如果使用中间CA，需将所有上级CA证书都添加到RootCertStore
• 自定义策略时，可通过Policy trait调整证书有效期、允许的加密算法等规则

内容的提问来源于stack exchange，提问作者TarithJ