无法找到Privoxy公钥时，如何验证其安装包的签名真实性？

我完全理解你的困惑——费劲下载了签名文件，却找不到对应的开发者公钥，这确实让人摸不着头脑，毕竟GPG验证的核心就是拿到合法的公钥才能生效。咱们一步步来梳理问题和可能的解决办法：

先澄清一个关键误区 #

你尝试用gpg --import Privoxy\ 3.0.34\ 64\ bit.pkg.asc是行不通的，因为.asc文件只是安装包的签名凭证，不是开发者的公钥本身。它的作用是和公钥配合，证明安装包没有被篡改，但单独导入签名文件不会提供任何验证所需的密钥。

尝试这些解决办法 #

• 更换主流PGP密钥服务器搜索
  你之前用的MIT密钥服务器没找到，可能是服务器同步延迟或者该密钥已从该服务器移除。试试换其他主流的PGP密钥服务器，用完整的密钥指纹搜索：

  gpg --keyserver 主流PGP密钥服务器 --recv-keys A90A85C1159F009DC3CDAE76451009FAB9D8A252
  

  （注：主流服务器包括但不限于Ubuntu、OpenPGP的官方密钥服务器，无需输入完整URL，直接用服务器标识即可）

• 检查Privoxy官方归档页面
  你下载的是2023年的3.0.34版本，属于较旧的版本，Privoxy可能把对应版本的公钥放在了下载归档区或者旧版本的下载页面底部。仔细找找官方网站的“旧版本下载”或“签名验证”板块，有些项目会把老版本的公钥单独归档在这里。

• 退而求其次的哈希验证
  如果实在找不到公钥，你可以尝试验证安装包的哈希值（比如SHA256），这虽然不如GPG签名安全，但也能确保文件没有被篡改。在macOS下可以用以下命令生成哈希：

  shasum -a 256 "/Users/john/Downloads/Privoxy 3.0.34 64 bit.pkg"
  

  然后去Privoxy官方发布页面找对应版本的官方哈希值进行对比。

关于你的疑问：为什么有签名却找不到公钥？ #

这种情况通常有几种可能：

1. 密钥曾经在公共服务器上，但后来因为密钥过期、被撤销，或者服务器的清理机制被移除了；
2. 项目维护团队没有把公钥的获取路径写清楚，尤其是旧版本的文档可能没有及时更新；
3. 密钥服务器之间的同步存在延迟，导致部分服务器还没有同步到该密钥。

如果以上方法都不行，你也可以尝试联系Privoxy的维护团队询问公钥的获取方式，但对于较旧的版本，回复的概率可能不高。

备注：内容来源于stack exchange，提问作者John