一、问题背景
在一次常规的 Arch Linux 系统升级过程中，执行：
pacman -Syu
升级流程在 checking package integrity 阶段全部通过，但随后出现大量错误：
signature from "xxx <xxx@archlinux.org>" is marginal trust
invalid or corrupted package (PGP signature)
failed to commit transaction
最终导致：
Errors occurred, no packages were upgraded.
系统无法完成升级。
值得注意的是：
- 报错涉及大量官方软件包
- 不同维护者签名均失败
- pacman 判定包为 corrupted
表面看似软件包损坏，实际上问题完全不同。
二、错误本质
核心关键词：
marginal trust
这并不表示软件包损坏，而是：
Pacman 无法确认签名者在本机 PGP 信任链中具备足够信任等级。
Arch Linux 的软件包安全机制依赖：
- GPG 密钥
- Maintainer 签名
- 本地 keyring 信任关系
升级流程为：
软件包 → Maintainer签名 → Arch Master Key → 本地 keyring验证
当本机 keyring 状态异常时，即使：
✅ 包真实
✅ 签名正确
✅ 来源官方
Pacman 仍会拒绝安装。
因此出现：
invalid or corrupted package (PGP signature)
实际上是 信任验证失败。
三、常见触发原因
实践中主要有以下几类原因：
1️⃣ archlinux-keyring 过旧（最常见）
长期未升级系统时：
- 新的 Packager Key 已加入 Arch
- 本地 keyring 未同步更新
导致签名无法建立信任路径。
2️⃣ 本地 pacman-key 数据损坏
可能来源：
- 系统迁移
- 手动复制系统
- 快照恢复
- 非正常关机
- GPG 数据库异常
3️⃣ 系统时间错误
PGP 签名依赖时间验证：
- 密钥有效期
- 签名时间窗口
时间漂移会直接导致验证失败。
4️⃣ 网络或镜像问题（次要）
例如：
- 透明代理
- 缓存污染
- 非官方镜像同步异常
四、标准修复流程
以下为完整、安全的恢复步骤。
Step 1：确认系统时间
首先检查时间状态：
timedatectl status
确保：
System clock synchronized: yes
NTP service: active
若异常：
timedatectl set-ntp true
Step 2：重新初始化 Pacman Keyring
重新建立本地信任数据库：
pacman-key --init
导入 Arch 官方密钥：
pacman-key --populate archlinux
刷新密钥：
pacman-key --refresh-keys
该步骤可能耗时较长。
Step 3：强制更新 archlinux-keyring（关键步骤）
即使系统整体升级失败，也可以单独更新 keyring：
pacman -Sy --needed archlinux-keyring
这是多数问题的真正修复点。
Step 4：重新执行系统升级
pacman -Syu
通常此时升级即可恢复正常。
五、缓存包清理（可选）
若此前已删除损坏缓存或下载中断：
rm -f /var/cache/pacman/pkg/*.part
然后重新升级：
pacman -Syu
六、不推荐的错误做法
部分网络建议通过关闭签名验证解决，例如：
修改：
SigLevel = Never
或禁用验证参数。
这种方式等同于：
关闭 Arch Linux 软件供应链安全。
在长期系统中应严格避免。
七、问题本质总结
本次问题并非：
- 软件包损坏
- 镜像源错误
- 系统入侵
而是：
本地 Arch Linux PGP 信任链失效。
Arch Linux 的安全模型非常严格，一旦信任关系无法验证，即拒绝升级。
从系统设计角度来看，这是安全机制正常工作的表现。
八、经验结论
对于 Arch Linux：
- 长期未更新系统时，应优先更新
archlinux-keyring - 系统迁移或恢复后建议重新初始化 keyring
- 保持 NTP 时间同步
- 不要绕过签名验证机制
PGP 报错多数不是包问题，而是 信任系统状态问题。
九、最终状态
完成 keyring 重建与更新后：
- Pacman 升级恢复正常
- 软件包验证通过
- 系统事务成功提交
问题解决。
关键词
Arch Linux / pacman / PGP signature / marginal trust / archlinux-keyring / system upgrade failure