在 CentOS 上验证 AppImage 签名
一 前置准备
- 安装 GPG 与常用工具（用于导入公钥与校验签名）：
- 安装命令：sudo dnf install -y gnupg2
- 可选工具：sudo dnf install -y squashfs-tools（用于查看/提取 AppImage 内容，非签名必需）
- 获取发布者的公钥（.asc 文件或服务器上的公钥指纹），并导入本地信任库：
- 导入示例：gpg --import app-signing-pubkey.asc
- 信任示例：gpg --edit-key publisher@example.com → 输入 trust → 选择 5 = I trust ultimately → 保存
二 方法一 使用 GPG 验证 AppImage 的 GPG 签名文件
- 适用场景：发布者提供了与 AppImage 同名的 .sig 签名文件（例如：MyApp-1.2.3-x86_64.AppImage.sig）。
- 操作步骤：
- 下载 AppImage 与对应的 .sig 文件到同一目录。
- 执行验证：
- 命令：gpg --verify MyApp-1.2.3-x86_64.AppImage.sig MyApp-1.2.3-x86_64.AppImage
- 结果判读：
- 看到 Good signature 且 key ID 与发布者一致，表示签名有效且文件未被篡改。
- 若提示 No public key 或 BAD signature，请确认公钥是否正确导入、文件是否完整下载
三 方法二 使用 AppImageLauncher 进行完整性校验与权限检查
- 适用场景：未提供 .sig 文件，或希望快速做“完整性+权限”检查。
- 安装与基本用法：
- 安装 AppImageLauncher（以发行版仓库或官方 AppImage 方式安装，安装后可直接使用命令行工具）。
- 完整性校验：appimagelauncher verify-integrity /path/to/Your.AppImage
- 权限检查：appimagelauncher check-permissions /path/to/Your.AppImage
- 批量审计示例：
- for f in *.AppImage; do
echo “Checking $f…”;
appimagelauncher verify-integrity “$f”;
appimagelauncher check-permissions “$f”;
done
- 说明：该方式侧重于完整性校验与权限风险提醒，并非 GPG 签名验证的替代；如条件允许，仍建议配合 GPG 使用
四 常见问题与排查
- 只有 AppImage 没有 .sig 文件
- 联系发布者索取 .sig 或使用 AppImageLauncher 做完整性检查；注意：AppImage 文件本身不会自动验证嵌入签名，不能仅依赖运行时的“–appimage-signature”输出完成安全校验，需使用外部工具完成验证
- 签名无效或密钥不受信任
- 重新导入发布者的公钥，并使用 gpg --edit-key 将其设为完全信任；确保下载的 AppImage 与 .sig 未被截断或篡改（可用 sha256sum 对比发布方校验值）
- 想查看 AppImage 内容但不验证签名
- 可挂载或提取查看（仅用于排查，不代表安全）：例如使用 squashfs-tools 提取或借助 AppImageLauncher 的集成机制；注意提取/运行未知来源文件存在安全风险，务必在隔离环境操作