Golang中Crypto/opengpg遇到无效签名问题：哈希标签不匹配

Golang中Crypto/opengpg遇到无效签名问题：哈希标签不匹配 我正在使用opengpg来验证签名，但持续收到：openpgp: invalid signature: hash tag doesn't match。示例代码可在此处查看：https://play.golang.org/p/NqjiG3n9Xk8

然而，如果我使用 gpg --verify，它却可以正常工作。我对PGP的有限知识使我无法进一步深入。感谢您对此问题的建议。

1 回复

更多关于Golang中Crypto/opengpg遇到无效签名问题：哈希标签不匹配的实战系列教程也可以访问 https://www.itying.com/category-94-b0.html


在Golang的crypto/openpgp包中遇到invalid signature: hash tag doesn't match错误通常是由于签名验证时使用的哈希算法与签名创建时使用的算法不匹配导致的。以下是针对此问题的解决方案：

首先，确保你使用的公钥与签名匹配，并且签名数据未被篡改。错误可能源于签名头中声明的哈希算法与实际使用的算法不一致。

以下是一个修复后的示例代码，它明确指定了哈希算法并处理了可能的算法不匹配：

package main

import (
    "bytes"
    "crypto"
    "fmt"
    "golang.org/x/crypto/openpgp"
    "golang.org/x/crypto/openpgp/packet"
    "io/ioutil"
)

func main() {
    // 示例公钥和签名数据（替换为实际数据）
    pubKey := `-----BEGIN PGP PUBLIC KEY BLOCK-----...`
    signature := `-----BEGIN PGP SIGNATURE-----...`
    signedData := []byte("data to verify")

    // 解析公钥
    keyring, err := openpgp.ReadArmoredKeyRing(bytes.NewBufferString(pubKey))
    if err != nil {
        fmt.Printf("Failed to parse public key: %v\n", err)
        return
    }

    // 解析签名
    sig, err := openpgp.ReadArmoredMessage(bytes.NewBufferString(signature))
    if err != nil {
        fmt.Printf("Failed to parse signature: %v\n", err)
        return
    }

    // 验证签名，明确指定哈希算法（例如SHA256）
    hashFunc := crypto.SHA256
    for _, key := range keyring {
        err = key.PublicKey.VerifySignature(
            bytes.NewReader(signedData),
            sig.Signature,
        )
        if err == nil {
            fmt.Println("Signature verified successfully")
            return
        }
        // 如果默认验证失败，尝试使用指定哈希算法
        config := &packet.Config{
            DefaultHash: hashFunc,
        }
        err = key.PublicKey.VerifySignatureWithAlgorithm(
            bytes.NewReader(signedData),
            sig.Signature,
            hashFunc,
            config,
        )
        if err == nil {
            fmt.Println("Signature verified with explicit hash algorithm")
            return
        }
    }
    fmt.Printf("Signature verification failed: %v\n", err)
}

如果问题仍然存在，检查签名创建时使用的哈希算法，并确保在验证时使用相同的算法。例如，如果签名使用SHA512创建，则在验证时指定crypto.SHA512。

另外，确保你的golang.org/x/crypto/openpgp包是最新版本，因为旧版本可能存在已知的哈希算法处理问题。使用以下命令更新：

go get -u golang.org/x/crypto/openpgp

如果签名数据来自外部源，验证其格式是否正确，特别是签名头中的哈希算法标识。使用以下代码检查签名详情：

// 检查签名包详情
if sig.Signature != nil {
    fmt.Printf("Signature Hash: %v\n", sig.Signature.Hash)
    fmt.Printf("Signature Version: %v\n", sig.Signature.Version)
}

这些步骤通常能解决哈希标签不匹配的问题。如果问题持续，提供具体的公钥、签名和数据示例以便进一步分析。

回到顶部