使用python-gnupg模块解密tar.gz.gpg归档文件时出现未知系统错误的排查求助

从你的日志信息来看，核心错误是gpg: no valid OpenPGP data found，这说明Python的gnupg模块传递给gpg进程的数据没有被正确识别——而终端命令能正常工作，说明问题出在代码实现细节上，不是文件本身的问题。

可能的原因及修复步骤 #

1. 文件指针未指向起始位置 #

当你打开文件后，如果之前有过隐式读取操作（比如复制到临时目录时的后台处理），文件指针可能停留在文件中间或末尾，导致decrypt_file读取的是空内容或无效片段。

修复方法：在传递文件对象给decrypt_file前，强制将指针重置到文件开头：

with open(str(my_path), 'rb') as f:
    f.seek(0)  # 添加这行，确保从文件起始位置读取
    gpg = gnupg.GPG()
    status = gpg.decrypt_file(
        f,
        passphrase=MY_SECRET_KEY,
        output=str(output_path)
    )

2. gnupg模块的homedir与终端不一致 #

日志显示gnupg模块默认使用的homedir是/home/o.solop/.config/python-gnupg，但终端里的gpg默认使用的是~/.gnupg。虽然对称加密不需要密钥环，但两者的配置差异可能导致gpg对数据的识别逻辑异常。

修复方法：初始化GPG时指定终端使用的homedir（可通过终端执行gpg --homedir查看默认路径）：

gpg = gnupg.GPG(gnupghome='/home/o.solop/.gnupg')

3. 临时文件复制过程中损坏 #

你将文件复制到临时目录后，可能存在复制不完整或文件损坏的情况。可以通过对比哈希值验证临时文件与原文件的一致性：

import hashlib

def get_file_sha256(file_path):
    sha256 = hashlib.sha256()
    with open(file_path, 'rb') as f:
        for chunk in iter(lambda: f.read(4096), b''):
            sha256.update(chunk)
    return sha256.hexdigest()

# 替换为你的原文件路径，对比临时文件哈希
original_hash = get_file_sha256("/path/to/original/archive.tar.gz.gpg")
tmp_hash = get_file_sha256(my_path)
assert original_hash == tmp_hash, "临时文件复制损坏，请检查copy2tmp逻辑"

4. 改用decrypt方法替代decrypt_file #

尝试直接读取文件内容，用decrypt方法解密，绕开文件对象传递的潜在问题：

with open(str(my_path), 'rb') as f:
    gpg = gnupg.GPG(gnupghome='/home/o.solop/.gnupg')
    file_data = f.read()
    status = gpg.decrypt(
        file_data,
        passphrase=MY_SECRET_KEY,
        output=str(output_path)
    )

替代方案：用subprocess调用终端命令 #

如果gnupg模块的问题难以排查，直接调用终端的gpg命令是最可靠的选择——它和你手动执行的逻辑完全一致。这里推荐用--passphrase-fd方式传递密码，避免密码暴露在命令行历史中：

import subprocess
from pathlib import Path

def decrypt_with_subprocess(input_path: Path, output_path: Path, passphrase: str) -> Path:
    proc = subprocess.Popen(
        [
            'gpg',
            '--output', str(output_path),
            '--decrypt',
            '--passphrase-fd', '0',  # 从标准输入读取密码
            str(input_path)
        ],
        stdin=subprocess.PIPE,
        stderr=subprocess.PIPE,
        text=False  # 二进制模式传递，避免编码问题
    )
    _, stderr = proc.communicate(input=passphrase.encode('utf-8'))
    if proc.returncode != 0:
        raise RuntimeError(f"解密失败: {stderr.decode('utf-8').strip()}")
    return output_path

# 在你的_unpack函数中调用
if str(my_path).endswith('.gpg'):
    output_path = my_path.parent / my_path.stem
    decrypt_with_subprocess(my_path, output_path, MY_SECRET_KEY)
    my_path = output_path

其他可选Python模块 #

除了gnupg和subprocess，还可以考虑纯Python实现的OpenPGP库：

• pgpy：无需依赖系统gpg，跨平台兼容性更好，示例代码：

  import pgpy
  from pathlib import Path
  
  def decrypt_with_pgpy(input_path: Path, output_path: Path, passphrase: str) -> Path:
      with open(input_path, 'rb') as f:
          encrypted_data = f.read()
      msg = pgpy.PGPMessage.from_blob(encrypted_data)
      with msg.decrypt(passphrase) as plaintext:
          with open(output_path, 'wb') as f:
              f.write(plaintext.read())
      return output_path
  

内容的提问来源于stack exchange，提问作者Alex