哪里有clash nyanpasu的公钥提供

[weichiemye]

我想验证数字签名。
有没有人能够告诉我，clash nyanpasu的公钥哪里可以找得到啊？
Clash.Nyanpasu_2.0.0_x64-setup.nsis.zip.sig应该是数字签名文件吧。每次用gpg校验都显示
user@debian:~/桌面$ gpg --verify Clash.Nyanpasu_2.0.0_x64-setup.nsis.zip.sig
gpg: 找不到有效的 OpenPGP 数据。
gpg: 签名无法被验证。
请记住签名文件（.sig 或 .asc）应该是
在命令行中第一个给定的文件。
怎样才能验证软件包的完整性保证未被篡改。

[keiko233]

sig文件做的是当前包sha校验值

[weichiemye]

是这样吗？印象中哈希是不会同时出现大小写的，并且长度不是很像哈希，sig的文本是这样的：
dW50cnVzdGVkIGNvbW1lbnQ6IHNpZ25hdHVyZSBmcm9tIHRhdXJpIHNlY3JldCBrZXkKUlVRbVQ3VGZNVVljbWpuUDRhY0NBcWdlSFVSMncwLzRiNEtwR3djU2dwbWk5aXZyY05kV0pZOC91bmovVWJLS0lxSFM4MCtVeVRwK3N0YlQxcmF0SlAwU1g3ZEorWmhzNndZPQp0cnVzdGVkIGNvbW1lbnQ6IHRpbWVzdGFtcDoxNzI4NDM1NTcxCWZpbGU6Q2xhc2ggTnlhbnBhc3VfMi4wLjBfeDY0LXNldHVwLm5zaXMuemlwClozdWNrRXkzRFFRV0tTbDlEQ2NvU2JVSUlpZUFFNEowWG9QQ09RbGlJV1V4M0c5bTBNVnpxQkVJckZnV2VaK3RFUjNzdnBDSXNaMjdEc2xVODdOYUFBPT0K
，base64解码后的结果是这样的：
untrusted comment: signature from tauri secret key
RUQmT7TfMUYcmjnP4acCAqgeHUR2w0/4b4KpGwcSgpmi9ivrcNdWJY8/unj/UbKKIqHS80+UyTp+stbT1ratJP0SX7dJ+Zhs6wY=
trusted comment: timestamp:1728435571 file:Clash Nyanpasu_2.0.0_x64-setup.nsis.zip
Z3uckEy3DQQWKSl9DCcoSbUIIieAE4J0XoPCOQliIWUx3G9m0MVzqBEIrFgWeZ+tER3svpCIsZ27DslU87NaAA==
感觉像是数字签名文件
因为windows上的安装包没有sha256所以我就很疑惑这个sig文件是什么，后面查到了是数字签名，但是用gpg又校验不了，所以才有此疑问。
期待你的回应。致以敬意。

[greenhat616]

这个确实是签名，但是这个只给内部的updater使用的。目前没去做全平台的签名：

1. linux 这里 GPG签名挺好做的
2. Windows 这里数字签名至少需要一千人民币每年
3. macOS 数字签名要求年费 99 USD，且不交保护费一系列接口不能使用，这也是我们没做系统 VPN 接口的原因。

综上，由于利益问题暂时没机会提供全平台数字签名的支持，感谢理解。

[weichiemye]

我能理解。
原来分发windows应用程序要打数字签名还是要内嵌那么麻烦，一内嵌就要给数字签名公司付费，你们为爱发电已经让吾辈钦佩，强求内嵌数字签名是无理的要求。
我本意只是通过那个附加的sig数字签名文件校验安装包，不是要你们额外自己掏腰包买数字签名。
其实能不能考虑一下提供sha256文件，效果是一样的，其实数字签名有或没有也无所谓，最终目的只是为了要校验应用包有没有被篡改之类的。