如何用Python实现无需指定homedir、不本地存密钥的PGP文件加密

嘿，这个需求完全可以实现！我来给你两种靠谱的方案，都能满足你不把密钥存本地磁盘、甚至不用固定homedir的要求。

方案一：使用python-gnupg（依赖系统GnuPG） #

如果你已经在系统上安装了GnuPG，这个方案很顺手。核心思路是用临时目录作为GnuPG的工作目录（用完自动删除），直接从字符串导入云端获取的密钥，全程不把密钥写入持久化磁盘。

代码示例 #

import gnupg
import tempfile
from pathlib import Path

# 从安全云端获取公钥字符串（替换成你的实际云端拉取逻辑）
cloud_public_key = """-----BEGIN PGP PUBLIC KEY BLOCK-----
... 你的公钥内容 ...
-----END PGP PUBLIC KEY BLOCK-----"""

# 要加密的目标文件
target_file = Path("your_file.txt")

# 用临时目录作为GnuPG的工作目录，上下文管理器会自动清理
with tempfile.TemporaryDirectory() as temp_homedir:
    # 初始化GPG对象，指向临时目录
    gpg = gnupg.GPG(homedir=temp_homedir)
    
    # 直接导入公钥字符串，无需写入本地文件
    import_result = gpg.import_keys(cloud_public_key)
    if not import_result.fingerprints:
        raise ValueError("公钥导入失败，请检查密钥格式")
    
    # 读取文件内容到内存
    with open(target_file, "rb") as f:
        file_content = f.read()
    
    # 执行加密
    encrypted_output = gpg.encrypt(
        file_content,
        import_result.fingerprints[0],
        armor=True,  # 生成易传输的ASCII格式加密内容
        always_trust=True  # 云端密钥是可信的，直接跳过信任校验
    )
    
    # 保存加密结果（或者直接上传到云端）
    if encrypted_output.ok:
        with open(f"{target_file.name}.gpg", "wb") as f:
            f.write(str(encrypted_output).encode())
    else:
        raise RuntimeError(f"加密失败：{encrypted_output.stderr}")

优势&注意点 #

• 依赖系统GnuPG，兼容性好，适合已有GPG环境的场景
• 临时目录会在代码块执行完自动删除，不会留下密钥残留
• 务必确保从云端拉取密钥的过程是安全的（比如用HTTPS，校验密钥指纹）

方案二：使用PGPy（纯Python实现，无系统依赖） #

如果你不想依赖系统的GnuPG，PGPy是绝佳选择——它是纯Python编写的PGP库，所有操作都在内存中完成，完全不需要磁盘存储密钥或创建homedir，完美契合你的安全需求。

代码示例 #

import pgpy
from pathlib import Path

# 从安全云端获取公钥字符串
cloud_public_key = """-----BEGIN PGP PUBLIC KEY BLOCK-----
... 你的公钥内容 ...
-----END PGP PUBLIC KEY BLOCK-----"""

# 要加密的目标文件
target_file = Path("your_file.txt")

# 直接从字符串加载公钥到内存
pubkey, _ = pgpy.PGPKey.from_blob(cloud_public_key)

# 读取文件内容到内存
with open(target_file, "rb") as f:
    file_content = f.read().decode()  # PGPy默认处理字符串，二进制文件可调整参数

# 创建PGP消息并加密
message = pgpy.PGPMessage.new(file_content)
encrypted_message = pubkey.encrypt(message)

# 保存加密结果（或直接上传云端）
with open(f"{target_file.name}.gpg", "wb") as f:
    f.write(str(encrypted_message).encode())

优势&注意点 #

• 完全不依赖系统工具，跨平台兼容性强
• 所有密钥、加密操作都在内存中进行，零磁盘残留风险
• 加密二进制文件时，只需将PGPMessage.new的binary参数设为True即可

内容的提问来源于stack exchange，提问作者WABBIT0111