python - 如何验证 pip 包的 PGP key ？

Question

我正在使用 pycryptodomme图书馆。 documentation状态

All source packages and wheels on PyPI are cryptographically signed. They can be verified with the following PGP key:

我是通过 pip 安装的

pip install pycryptodome

我尝试直接通过以下方式下载车轮文件

pip download pycryptodome

没有 *.sig或 *.asc文件。当我使用建议直接检查轮文件时，我什至没有看到它here .

题 :

如何按照文档的建议检查轮文件的签名？

Answer 1

The docs已经过时了。

All source packages and wheels on PyPI are cryptographically signed.

这不再是真的。 PGP 签名从旧后端切换到 Warehouse 时从 PyPI 中删除:
https://github.com/pypa/warehouse/issues/3356#issuecomment-375303794
https://pyfound.blogspot.com/2018/03/warehouse-all-new-pypi-is-now-in-beta.html

Things that will go away once legacy PyPI shuts down:

GPG/PGP signatures for packages