GPG Key

# 方法 A：基于 WKD (Web Key Directory) 直接从域名服务器获取密钥的先进协议
gpg --locate-keys contact@picatria.org.cn

# 方法B: 基于全球主流的公钥服务器 =keys.openpgp.org=
gpg --keyserver hkps://keys.openpgp.org --search-keys contact@picatria.org.cn

#!/bin/bash

# --- 配置区 ---
TRUSTED_FPR="85F1E2C59766CB40FC878B1C457C726D13DB58CC"
DOMAIN="picatria.org.cn"
GH_USER="EdgeOfSun"
# 这里填入你 proof.md 所在的 Gist ID (即 URL 最后那串字符)
GH_GIST_ID="b65de1cd8b2f4cd1ec925addb8527908"
PUBKEY_URL="https://$DOMAIN/publickey.asc"

echo "-------------------------------"
echo "🔍 开始进行三方身份交叉验证..."
echo "-------------------------------"

# 1. 获取网站公钥文件的指纹
#    逻辑：下载公钥 -> GPG 读取指纹 -> 提取第10字段 -> 取第一行
SITE_FPR=$(curl -sL "$PUBKEY_URL" | \
    gpg --import-options show-only --import --with-colons | \
    grep "^fpr" | \
    cut -d: -f10 | head -n 1)

# 2. 从 DNS TXT 记录提取指纹
#    逻辑：查询 TXT 记录 -> 匹配40位十六进制 -> 取第一行
DNS_FPR=$(dig +short TXT "$DOMAIN" | \
    grep -oE "[0-9A-F]{40}" | head -n 1)

# 3. [已更新] 从 GitHub Gist (proof.md) 获取指纹
#    逻辑：构造 Raw 链接 -> 下载内容 -> 匹配 openpgp4fpr:指纹 格式 -> 提取指纹部分
#    注意：GitHub 原生页面包含 HTML，必须使用 gist.githubusercontent.com 获取纯文本
GH_RAW_URL="https://gist.githubusercontent.com/$GH_USER/$GH_GIST_ID/raw"
#    这里 grep 匹配 "openpgp4fpr:指纹" 并截取冒号后面的部分
GH_FPR=$(curl -sL "$GH_RAW_URL" | \
    grep -oE "openpgp4fpr:[0-9A-F]{40}" | \
    cut -d: -f2 | \
    head -n 1)

# --- 验证对比逻辑 ---
ERROR=0

# 对比网站
if [[ "$SITE_FPR" == "$TRUSTED_FPR" ]]; then
    echo "✅ [1/3] 网站公钥文件通过"
else
    echo "❌ [1/3] 网站公钥不匹配！(获取到: ${SITE_FPR:-为空})"
    ERROR=1
fi

# 对比 DNS
if [[ "$DNS_FPR" == "$TRUSTED_FPR" ]]; then
    echo "✅ [2/3] DNS TXT 记录通过"
else
    echo "❌ [2/3] DNS 记录不匹配！(获取到: ${DNS_FPR:-为空})"
    ERROR=1
fi

# 对比 GitHub
if [[ "$GH_FPR" == "$TRUSTED_FPR" ]]; then
    echo "✅ [3/3] GitHub Gist 证明通过"
else
    echo "❌ [3/3] GitHub Gist 证明不匹配！"
    echo "    期望: openpgp4fpr:$TRUSTED_FPR"
    echo "    实际获取内容可能为空或格式错误，检查 Gist ID 是否正确。"
    ERROR=1
fi

# --- 交互确认环节 ---

if [ $ERROR -eq 0 ]; then
    echo -e "\n🎉 交叉验证全数通过！所有来源指向同一个身份。"
    echo "------------------------------------------------"

    # 提示用户进行选择
    echo -n "❓ 是否现在将此公钥导入您的 GPG 钥匙串? [y/N]: "
    read -r response

    case "$response" in
        [yY][eE][sS]|[yY])
            echo "🚀 正在执行导入..."
            curl -sL "$PUBKEY_URL" | gpg --import
            echo "✨ 导入完成。您可以运行 'gpg --fingerprint contact@picatria.org.cn' 进行最终确认。"
            ;;
        *)
            echo "✋ 已取消操作。未对您的系统进行任何更改。"
            exit 0
            ;;
    esac
else
    echo -e "\n🚨 严重警告：多方验证不一致！"
    echo "这可能意味着其中一个渠道已被入侵或篡改。为了安全，已自动终止。"
    exit 1
fi