如何在Python版AWS Lambda中正确解密PGP加密文件？

核心问题分析 #

从日志输出可知，密钥导入正常、加密文件存在，解密状态返回good passphrase但status.ok=False，且未生成解密文件。这类问题通常是Lambda无TTY环境下GnuPG需要显式配置，或是Lambda层的GnuPG与python-gnupg版本不兼容导致的。

具体修复步骤 #

1. 显式传递密钥密码 #

在Lambda的无交互环境中，即使密钥已被信任，也必须通过passphrase参数显式提供密钥密码：

with open(encrypted_path, 'rb') as f:
    status = gpg.decrypt_file(
        f, 
        output=decrypted_path, 
        always_trust=True,
        passphrase="你的密钥密码"  # 建议通过Secrets Manager或环境变量存储，不要硬编码
    )

2. 检查GnuPG版本兼容性 #

python-gnupg对GnuPG二进制版本有依赖，Lambda层中的版本需与本地测试版本一致。可在Lambda中添加代码打印版本：

print(gpg.version)

若版本不匹配，重新构建Lambda层，使用与本地测试相同的GnuPG版本。

3. 确保gnupghome目录权限合规 #

GnuPG要求密钥目录权限为700，建议单独创建子目录而非直接用/tmp：

import os
gnupghome = '/tmp/gnupg'
os.makedirs(gnupghome, exist_ok=True)
os.chmod(gnupghome, 0o700)
gpg = gnupg.GPG(gnupghome=gnupghome)

4. 禁用GnuPG的TTY交互 #

在无TTY的Lambda环境中，强制GnuPG以批处理模式运行：

gpg = gnupg.GPG(
    gnupghome='/tmp/gnupg',
    options=['--batch', '--no-tty']
)

--batch会禁用所有交互操作，--no-tty明确告知GnuPG无需终端输入。

5. 打印完整错误信息排查 #

修改日志代码，输出完整的解密状态字段，定位具体错误：

print('decrypt full status:', status.__dict__)
print('decrypt stderr details:', status.stderr)

额外验证点 #

• 确认导入的是解密所需的私钥，而非加密用的公钥
• 检查Lambda执行角色是否有/tmp目录的读写权限（默认已有，自定义权限时需确认）

内容的提问来源于stack exchange，提问作者Eric Austin