文件签名：签名与验证

验证 用于对照签名检查下载的发布包、备份或文档。拖入文件，粘贴 签名 或使用 加载签名文件，并提供 公钥。格式会自动识别：

• OpenSSH 签名（ssh-keygen -Y sign，也用于 Git 提交和标签）：密钥可以是 .pub 文件、authorized_keys 行或 allowed_signers 文件——匹配的行会显示签名者，并遵守其 namespaces= 限制。命名空间 必须与签名时使用的一致（通常为 file）。不提供密钥时，工具仍会用签名自带的密钥校验，并显示其指纹。
• minisign .minisig（预哈希 BLAKE2b 和旧版）：会检查密钥 ID 和受信任注释，伪造的注释会被报告。
• 来自 openssl dgst -sign 或 openssl pkeyutl -rawin 的 原始签名：二进制、base64 或 hex；ECDSA 为 DER 或 r‖s；RSA 为 PKCS#1 v1.5 或 PSS；SHA-256/384/512。密钥可以是 PEM（SPKI 或 PKCS#1）、X.509 证书、OpenSSH 行或 JWK。

签名 使用你的 私钥 创建签名：OpenSSH、PEM（PKCS#8、加密的 PKCS#8、EC 或 RSA）或 JWK，加密的密钥需填写 密码短语。可选择 SSH 签名（ssh-keygen -Y）——可由 ssh-keygen -Y verify 读取——或 原始签名（OpenSSL），并设置 哈希、RSA 填充 和 ECDSA 编码。结果包括签名、密钥指纹、公钥，以及可直接用 ssh-keygen 或 openssl 验证的命令。

检查下载的发布包：拖入 tool-1.4.tar.gz，加载 tool-1.4.tar.gz.sig，粘贴项目的 allowed_signers——结果显示 签名有效 以及签名者 [email protected]。

minisign：拖入压缩包，加载其 .minisig，粘贴项目页面上的 RW… 公钥；会显示包含文件名和时间戳的受信任注释。

OpenSSL：用 public.pem 验证 openssl dgst -sha256 -sign key.pem -out data.sig data.bin 生成的签名；哈希和填充会自动识别。

为同事签名：加载你的 id_ed25519，保留 SSH 签名（ssh-keygen -Y） 和命名空间 file，点击 签名文件，然后把 .sig 连同 allowed_signers 行一起发送。