GitLab CI：导入GPG密钥后如何让reprepro信任并完成签名

一、直接设置GPG密钥信任的正确方法 #

1. 通过--import-ownertrust导入信任值 #

先在本地生成密钥的信任配置：执行gpg --export-ownertrust > trustdb.txt，文件内容格式为[密钥完整指纹]:6:（6代表终极信任）。
将该内容存入GitLab CI变量（比如GPG_TRUST），在流水线脚本中执行：

echo "$GPG_TRUST" | gpg --import-ownertrust

如果直接写命令，要规避YAML的冒号语法问题，用单引号包裹整条命令：

script:
  - 'echo "AAABBBCCCDDDEEEFFF000111222333444555666777:6:" | gpg --import-ownertrust'

2. 自定义GPG配置跳过信任检查 #

创建gpg.conf文件，添加：

trust-model always

在CI脚本中指定该配置文件执行密钥导入：

gpg --homedir /tmp/gpg_home --options ./gpg.conf --import <(echo "$GPG_PRIVATE_KEY")

也可设置环境变量GNUPGHOME=/tmp/gpg_home，让reprepro调用gpg时自动读取该目录下的配置。

二、更简洁的密钥信任设置方式 #

导入密钥后，用非交互式命令直接修改密钥信任级别：

gpg --batch --yes --command-fd 0 --edit-key YOUR_KEY_FINGERPRINT <<EOF
trust
6
save
EOF

在GitLab CI的YAML中用多行字符串语法规避换行问题：

script:
  - >
    gpg --batch --yes --command-fd 0 --edit-key AAABBBCCCDDDEEEFFF000111222333444555666777 <<EOF
    trust
    6
    save
    EOF

三、gpg clearsign生效的原因 #

执行gpg --clearsign时，即使是非交互式环境，gpg也会自动将该密钥的信任选择写入本地信任数据库，相当于完成了一次信任确认操作。后续reprepro调用gpg时，就不会再触发「密钥未受信任」的校验错误。但这个操作需要额外执行一次签名动作，属于临时绕过的繁琐方案。

内容的提问来源于stack exchange，提问作者user149408