GnuPG2.2.23用gpg-preset-passphrase预设口令后仍弹出私钥口令提示的问题

预设完私钥口令依然弹出密码提示，基本都是前置配置漏项、参数传错、路径不对导致的，可按下面的步骤逐点排查修复：

核心常见踩坑点 #

• gpg-agent 默认不开启口令预设插件，哪怕执行了预设命令，agent也读不到存储的口令
• 取错了KeygripID，把密钥指纹当成了需要传入的Keygrip参数
• Alpine 系统下 gpg-preset-passphrase 的路径和常规Debian系发行版不一样，之前执行的预设命令根本没跑通
• 默认口令缓存时效太短，几十秒后缓存过期就重新弹出密码提示

逐步骤落地操作 #

• 首先打开gpg-agent的预设权限开关
  编辑配置文件~/.gnupg/gpg-agent.conf，写入两行配置：

  allow-preset-passphrase
  max-cache-hours 240
  

  其中allow-preset-passphrase是必开的开关，不加这个参数gpg-agent会直接忽略所有传入的预设口令；max-cache-hours是把默认30秒的缓存时长拉长到10天，适配无人值守场景下的缓存过期问题。
  配置改完必须手动重载gpg-agent，不然所有改动都不生效：

  gpg-connect-agent reloadagent /bye
  

• 确认gpg-preset-passphrase的实际可执行路径
  Alpine 3.12 自带的gnupg2包不会把这个工具放到/usr/libexec目录下，先查实际存放位置：

  find /usr -name gpg-preset-passphrase 2>/dev/null
  

  绝大多数场景下返回的路径是/usr/lib/gnupg/gpg-preset-passphrase。如果之前用了不存在的路径敲预设命令，Shell会直接报“没有那个文件”，但很多容器场景下会吞掉错误输出，看起来像命令执行成功，实际根本没完成预设。
• 获取正确的KeygripID
  不要把gpg --list-keys输出的公钥/私钥指纹当参数传，GnuPG内部识别私钥用的是专门的Keygrip值，用下面的命令读取：

  gpg --list-secret-keys --with-keygrip
  

  输出里每段标记为Keygrip = <40位字符串>的内容，就是需要传给预设命令的参数。如果私钥带多个子钥，要对每个需要用到的解密子钥单独取Keygrip、单独做口令预设，不然用到哪个子钥还是会弹提示。
• 正确执行口令预设命令
  用查到的实际工具路径、正确的Keygrip执行预设：

  /usr/lib/gnupg/gpg-preset-passphrase --preset "你的私钥实际口令" "对应的Keygrip值"
  

  注意GnuPG 2.2.23 版本里--passphrase是冗余参数，直接把口令作为位置参数传入即可，额外加这个参数反而会触发部分版本的参数解析bug，导致预设失败。
• 做好容器场景的持久化适配
  gpg-preset-passphrase 预设的口令是存在gpg-agent的内存里的，不会持久化到磁盘。一旦容器重启、gpg-agent进程被回收，之前预设的口令就会清空。长期运行的无人值守容器，要把预设命令的逻辑加到容器启动脚本里，等gpg-agent初始化完成后自动执行一次预设，避免进程重启后又回到弹密码的状态。

效果验证 #

直接执行解密操作，检查是否跳过口令提示：

gpg --decrypt 待解密的加密文件

如果没有弹出密码输入框、直接完成解密，就说明配置全部生效。 #

内容的提问来源于stack exchange，提问作者nad87563