升级Yarn时出现特定GPG提示信息是否属于正常现象？

你碰到的这段终端输出完全属于正常的升级流程提示，不存在安装包校验失败的问题。

各段输出的实际含义 #

• 核心校验通过标识：
  终端开头的 Verifying integrity...（正在校验完整性）、结尾的 GPG signature looks good（GPG签名校验通过），以及中间的 gpg: Good signature from "Yarn Packaging <yarn@dan.cx>"（来自“Yarn 打包团队 yarn@dan.cx”的有效签名）内容，代表Yarn升级脚本已经完成了安装包的签名核验：当前下载的安装包没有被篡改，签名和Yarn官方发布的版本匹配，基础完整性校验通过。
• 容易引发误解的警告说明：
  提示里的 gpg: WARNING: This key is not certified with a trusted signature!（警告：这把密钥未经过可信签名认证）、gpg: There is no indication that the signature belongs to the owner.（没有证据表明该签名属于对应密钥所有者）并非报错，只是GPG体系的常规通用提醒：
  • 该警告的触发逻辑是：GPG需要用户手动为信任的公钥标记信任等级，如果仅导入了Yarn的公钥但没有完成信任链认证操作，GPG就会触发这类提示，和当前安装包的完整性、真实性没有关系。
  • 输出里标注的 [unknown] 也是同理，仅代表你本地GPG存储库对这把Yarn公钥的信任等级标记为“未知”，不是指公钥本身为伪造。
• 原始输出里的密钥指纹展示段只是GPG的常规信息输出，用来明确当前校验用到的公钥身份，不代表存在异常。

可选优化操作 #

如果觉得每次升级弹出这类警告影响体验，可以在本地导入Yarn官方公钥后，手动将该公钥的信任等级调整为终极信任，后续执行校验流程时就不会再弹出同类提示。

内容的提问来源于stack exchange，提问作者boatcoder