Debian系统中GPG密钥环过期是一个非常常见但容易被忽视的问题。当你在执行apt update时突然看到"NO_PUBKEY"或者"签名验证失败"的报错，大概率就是GPG密钥过期导致的。解决方法并不复杂：先用gpg --list-keys查看过期密钥，再通过gpg --recv-keys从密钥服务器重新拉取，或者手动导入新的密钥文件，最后用apt-key add或debsig-verify重新注册到系统中即可。下面我会把整个流程、原理、常见坑和最佳实践全部讲透。
一、为什么Debian的GPG密钥会过期
Debian及其衍生发行版（如Ubuntu、Linux Mint等）使用GPG密钥来验证软件包的来源和完整性。每个软件源在添加到系统时，都会附带一个公钥。这个公钥本身有一个有效期，通常是1到2年。密钥过期后，系统不再信任该密钥签名的软件包，apt就会报错拒绝更新。
另外还有一种情况：Debian安全团队会定期轮换密钥。比如debian-archive-keyring包更新时，旧密钥被替换为新密钥。如果你没有及时更新密钥环，系统中保留的仍然是旧的、已经失效的密钥。这不是你的操作失误，而是Debian官方主动做的安全策略调整。
还有一种容易混淆的情况：密钥本身没有过期，但你的本地密钥环（keyring）文件损坏或被意外删除，导致系统找不到有效的签名密钥。这种情况下报错信息和密钥过期几乎一样，需要用不同方法排查。
二、如何查看当前GPG密钥状态
排查问题的第一步是查看系统中到底有哪些密钥、哪些过期了。打开终端，执行以下命令：
gpg --list-keys --keyid-format long
这个命令会列出当前用户密钥环中所有的公钥。你会看到类似这样的输出：
pub rsa4096/3B4FE6ACC0B21F32 2012-05-08 [SC] [expires: 2024-05-07] uid [ultimate] Debian Archive Automatic Signing Key (10/buster) <ftpmaster@debian.org> sub rsa4096/42AE36428AB7D438 2012-05-08 [E] [expires: 2024-05-07]
注意看[expires: 2024-05-07]这个字段。如果这个日期已经过去，说明密钥确实过期了。如果显示[expired]，那就是已经失效。如果根本没有显示expires字段，说明这个密钥是永不过期的（某些自签名密钥会这样）。
你还可以查看apt专用的密钥环：
apt-key list
这个命令专门显示apt使用的GPG密钥，信息更聚焦。输出中如果看到[expired]标记，就确认了问题所在。
三、从密钥服务器拉取新密钥的具体操作
确认密钥过期后，最直接的解决方式是从Debian官方密钥服务器重新获取。Debian维护了一个专门的密钥服务器keyserver.debian.org，也可以使用keys.openpgp.org等公共服务器。
首先，你需要知道要拉取哪个密钥。从之前gpg --list-keys的输出中，找到密钥的长ID（比如上面例子中的3B4FE6ACC0B21F32）。然后执行：
gpg --keyserver keyserver.debian.org --recv-keys 3B4FE6ACC0B21F32
如果这个密钥ID在服务器上找不到，说明Debian已经彻底弃用了这个密钥，需要用新的替代密钥。这时候你需要查看Debian官方发布的新密钥信息。可以访问Debian官网的Release页面或者直接查看debian-archive-keyring包的更新日志。
拉取成功后，用以下命令确认新密钥已经导入：
gpg --list-keys --keyid-format long 3B4FE6ACC0B21F32
确认新密钥的有效期是正常的，没有expired标记。
四、将新密钥注册到apt系统中
光把密钥导入到gpg密钥环还不够，apt需要知道这个密钥是可信的。有两种方式将密钥添加到apt的信任列表中。
方式一：使用apt-key add（传统方式，但在较新版本的apt中已被标记为deprecated）：
gpg --export 3B4FE6ACC0B21F32 | sudo apt-key add -
方式二（推荐）：将密钥保存为文件放到/usr/share/keyrings/目录下，然后在sources.list中引用：
gpg --export 3B4FE6ACC0B21F32 | sudo tee /usr/share/keyrings/debian-archive-keyring.gpg
然后编辑/etc/apt/sources.list或/etc/apt/sources.list.d/下的源文件，在deb行末尾加上signed-by参数：
deb [signed-by=/usr/share/keyrings/debian-archive-keyring.gpg] http://deb.debian.org/debian bookworm main
方式二是Debian官方现在推荐的做法，因为它把密钥管理和源配置绑定在一起，更清晰也更安全。方式一虽然简单，但所有密钥堆在一个地方，不利于精细化管理。
五、更新debian-archive-keyring包一键解决
如果你不想手动操作密钥，最省事的方法是直接更新debian-archive-keyring这个包。这个包专门用来管理Debian官方归档密钥，更新它就等于把所有官方密钥一次性刷新。
sudo apt update sudo apt install --reinstall debian-archive-keyring
如果apt update本身就报错了，你可以先下载这个deb包手动安装：
wget http://deb.debian.org/debian/pool/main/d/debian-archive-keyring/debian-archive-keyring_2023.4_all.deb sudo dpkg -i debian-archive-keyring_2023.4_all.deb
安装完成后，再次执行apt update，通常问题就解决了。这个方法适合不太熟悉GPG操作的用户，也是最不容易出错的方案。
六、密钥过期时的临时绕过方案
在某些紧急情况下，比如生产服务器不能停机、又暂时拿不到新密钥，你可以临时禁用GPG验证来完成更新。但请注意，这只是临时方案，有安全风险。
sudo apt -o Acquire::AllowInsecureRepositories=true update
或者更粗暴一点，在sources.list中把deb行改成：
deb [trusted=yes] http://deb.debian.org/debian bookworm main
这样apt就不会验证签名直接下载包。用完之后务必改回来，否则你的系统就暴露在中间人攻击的风险之下。我强烈不建议在生产环境长期使用这种方式。
七、自建密钥与第三方源的密钥管理
除了Debian官方源，很多第三方软件源（比如Docker、NodeSource、PostgreSQL官方源等）也使用自己的GPG密钥。这些密钥同样会过期，处理方式和上面一样，但需要分别管理。
查看第三方源的密钥通常在其官方文档中有说明。比如Docker的密钥更新方式：
curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg
建议为每个第三方源单独建立一个keyring文件，放在/usr/share/keyrings/下，命名清晰，比如docker-archive-keyring.gpg、nodesource-keyring.gpg等。这样管理起来一目了然，出问题也方便排查。
八、设置密钥过期提醒与自动化维护
GPG密钥过期这件事，最好的策略是预防而不是事后补救。你可以写一个简单的脚本定期检查密钥状态：
#!/bin/bash
EXPIRED_KEYS=$(gpg --list-keys --with-colons | awk -F: '/^pub/ {print $7}' | grep -i expired)
if [ -n "$EXPIRED_KEYS" ]; then
echo "警告：发现过期密钥: $EXPIRED_KEYS"
echo "请执行: sudo apt install --reinstall debian-archive-keyring"
fi把这个脚本放到/etc/cron.weekly/下，每周自动运行一次。一旦发现过期密钥就会发出提醒。配合日志监控，你可以在密钥过期影响业务之前就处理掉。
另外，养成关注Debian安全公告的习惯。Debian会在安全邮件列表和官网发布密钥轮换通知。订阅debian-security-announce@lists.debian.org这个邮件列表，可以第一时间收到相关信息。
九、常见错误与排查技巧
在实际操作中，你可能会遇到一些奇怪的问题。这里列出几个高频踩坑点：
第一，gpg --recv-keys时提示"keyserver receive failed"。这通常是网络问题或者密钥服务器不可用。可以换一个服务器试试：
gpg --keyserver hkps://keys.openpgp.org --recv-keys 3B4FE6ACC0B21F32
第二，导入密钥后apt update仍然报错。这可能是因为密钥虽然导入了，但没有正确关联到对应的软件源。检查sources.list中的signed-by路径是否和实际文件一致。
第三，执行apt-key add时提示"apt-key is deprecated"。这是正常的，apt 2.x版本已经逐步弃用apt-key命令。按照上面说的方式二，用keyring文件管理即可。
第四，密钥拉取成功但显示"no ultimately trusted keys found"。这说明你拉取的密钥没有被本地信任。需要用gpg --edit-key手动设置信任度：
gpg --edit-key 3B4FE6ACC0B21F32 trust 5
输入5表示"I trust ultimately"，然后save退出。这样这把密钥就被标记为完全信任了。
十、总结与最佳实践建议
Debian GPG密钥过期本质上是一个安全机制的正常运作，不是系统故障。核心处理思路就三步：识别过期密钥、获取新密钥、注册到apt信任体系。最推荐的长期方案是使用debian-archive-keyring包管理加signed-by方式，既规范又便于维护。对于第三方源，坚持一源一keyring文件的原则。同时建立定期检查机制，把被动修复变成主动预防。把这些做到位，GPG密钥过期就不会再成为让你头疼的问题。
