如何使用.sig验证Keybase.io的.deb安装包（Linux Mint 64位）

我来帮你搞定在Linux Mint 64位系统上用.sig文件验证Keybase .deb包的问题，结合你已经掌握的指纹验证基础，咱们一步步操作：

前置准备 #

• 确保你已经下载了对应的Keybase .deb安装包和它的.sig签名文件，并且两个文件放在同一个目录下（比如~/Downloads）
• 你已经拥有Keybase的code_signing_key.asc签名密钥文件

步骤1：导入签名密钥（可选但推荐） #

既然你已经有了code_signing_key.asc，可以先把它导入到本地GPG密钥库，方便后续验证：

gpg --import code_signing_key.asc

导入完成后，你可以用你已经熟悉的命令再次确认指纹的正确性：

gpg --with-fingerprint code_signing_key.asc

确保输出的指纹和官方公布的完全一致，这一步是为了保证你用的是正确的密钥。

步骤2：用.sig文件验证.deb包 #

在两个文件所在的目录下，执行以下命令（把文件名替换成你实际下载的文件名）：

gpg --verify keybase_amd64.deb.sig keybase_amd64.deb

注意：第一个参数是.sig签名文件，第二个是要验证的.deb安装包，顺序不要搞反。

如何判断验证结果 #

• 如果输出中出现**Good signature from "Keybase.io Code Signing <code@keybase.io>"**，说明安装包的签名是有效的，文件没有被篡改。
• 可能会看到类似This key is not certified with a trusted signature!的警告，这是正常现象——因为你没有将这个密钥标记为本地信任的，只要前面的"Good signature"出现，就可以放心安装。

不导入密钥的验证方式（可选） #

如果你不想把密钥导入本地密钥库，也可以直接指定密钥文件进行验证：

gpg --keyid-format long --verify keybase_amd64.deb.sig --keyring ./code_signing_key.asc keybase_amd64.deb

内容的提问来源于stack exchange，提问作者the_t_test_1