如何通过在线解密PGP私钥验证实物藏品真伪 能否用Python实现

现有实现方案情况 #

• 目前没有完全开箱即用、针对个人藏家的免费开源方案。商用的艺术品溯源、收藏卡牌校验系统大多已经落地了非对称加密+二维码的校验逻辑，但这类方案多为SaaS服务，核心校验逻辑不对外开放，你如果不想绑定商用平台的话需要自行开发核心逻辑。
• 开源领域已有成熟的PGP签名、验签工具集，你只需要基于通用工具做少量适配即可满足需求，不需要从零实现PGP算法。

自行开发是否需要私钥解密功能 #

不需要。你的场景用的是PGP的签名验签能力，不是加密解密能力，正确的流程逻辑如下：

1. 本地离线环境用自己的私钥，给每个藏品的唯一特征字段（比如藏品ID、作者、创作年份、藏品实物的哈希特征值）生成签名
2. 将藏品ID、签名内容作为参数拼入校验网站的url，生成对应的二维码贴在藏品上
3. 校验网站仅存储你的公钥，用户扫码后网站提取url里的藏品ID、签名，调用公钥对签名做验签，和后台存储的藏品特征比对一致即为真品
   整个流程私钥仅在你本地签名时使用，永远不要上传到公网服务器，线上代码完全不需要涉及任何私钥相关的解密、存储逻辑。

关键提醒：私钥务必离线冷存储，一旦泄露其他人就可以伪造合法签名，你的校验机制会直接失效。

可选开发语言及Python支持情况 #

• 所有主流后端语言（Go、Java、Node.js、PHP、Python等）都有成熟的PGP相关库支持，都可以实现需求。
• Python完全可以满足你的需求，推荐使用pgpy或者python-gnupg第三方库实现，以下是极简的验签示例代码：

import pgpy

# 加载提前存储在服务端的公钥文件
pub_key, _ = pgpy.PGPKey.from_file("my_public_key.asc")
# 从二维码跳转参数中获取原始藏品特征字符串、签名内容
item_feature = "20240601_梵高_向日葵_编号0017"
received_sign = pgpy.PGPSignature.from_base64("url里拿到的base64格式签名")

# 验签结果为True即代表签名合法
verify_result = pub_key.verify(item_feature, received_sign)

内容的提问来源于stack exchange，提问作者Robert Jooste