如何修复GoReleaser的‘gpg: signing failed: No secret key’错误？

关键排查与修复步骤 #

1. 确认GPG私钥格式与环境变量传递正确性 #

• 私钥必须是完整的ASCII armored格式，需包含-----BEGIN PGP PRIVATE KEY BLOCK-----和-----END PGP PRIVATE KEY BLOCK-----首尾标识，不能有多余换行或空格。
• 若在.release-env中直接写入私钥，需将换行替换为\n（比如把私钥的每一行用\n连接成单行）；或者对私钥做base64编码，在容器内解码后导入，避免换行转义问题。

2. 手动验证容器内密钥导入情况 #

临时修改docker命令进入容器，手动排查密钥状态：

docker run --rm -it --env-file .release-env -v `pwd`:/go/src/$(PACKAGE_NAME) goreleaser/goreleaser-cross:v1.20 bash

在容器内执行以下命令：

# 导入私钥
echo "$GPG_KEY" | gpg --import --batch
# 查看已导入的私钥
gpg --list-secret-keys

• 如果导入失败，会直接输出格式错误、密码不匹配等具体提示；
• 如果能列出私钥，核对其指纹是否与GPG_FINGERPRINT完全一致（注意大小写，GPG指纹需严格匹配）。

3. 验证GPG密码有效性 #

若私钥已加密，测试密码是否能正常解锁：

echo "test" | gpg --sign --armor --default-key $GPG_FINGERPRINT --passphrase "$GPG_PASSWORD"

如果命令执行成功生成签名，说明密码有效；失败则需确认密码是否正确。

4. 检查GoReleaser签名配置 #

确保.goreleaser.yml中的签名配置无错误，示例正确配置：

sign:
  artifacts: checksum
  args:
    - "--batch"
    - "--local-user"
    - "{{ .Env.GPG_FINGERPRINT }}"
    - "--output"
    - "{{ .Signature }}"
    - "--detach-sign"
    - "{{ .Artifact }}"

避免配置中指定了错误的密钥路径或多余参数。

5. 容器内手动签名测试 #

在容器内直接用gpg完成签名流程，定位问题环节：

# 创建测试文件
echo "test content" > test.txt
# 执行签名
gpg --detach-sign --default-key $GPG_FINGERPRINT --passphrase "$GPG_PASSWORD" test.txt

• 若此命令失败，问题出在GPG密钥或密码本身，与GoReleaser无关；
• 若此命令成功，再检查GoReleaser命令参数是否存在冲突（比如--skip-validate是否跳过了必要的密钥校验）。

常见坑点总结 #

• 私钥在环境变量中未正确转义换行，导致导入的私钥不完整；
• GPG_FINGERPRINT大小写或字符与实际密钥指纹不匹配；
• 加密私钥的GPG_PASSWORD错误；
• 容器内GPG版本与本地不一致，导致密钥格式兼容性问题。

内容的提问来源于stack exchange，提问作者Ivan Petrov