Мы рассмотрим подписание коммитов и тегов ключом GPG, а также отправку и получение открытых ключей GPG на сервер ключей для проверки.
Шпаргалка
Неподписанный коммит:
git commit -m "Unsigned commit" git log
Подписанный коммит:
Если ваши адреса электронной почты git и gpg-ключа отличаются, это приведет к неудаче, пока вы не настроите свой git signingkey
git commit -S -m "Signed commit" git log --show-signature
Неподписанный тег:
git tag lightweight-tag git show lightweight-tag git tag -am "" unsigned-annotated-tag git show unsigned-annotated-tag
Подписанный тег:
git tag -sm "" signed-tag git show signed-tag
Переопределение параметров конфигурации автоподписания:
git commit --no-gpg-sign -m "Unsigned commit" git tag --no-sign unsigned-lightweight-tag
Импорт открытого ключа GPG другого пользователя с сервера ключей
С середины 2021 года стандартный сервер ключей gpg был отключен от сети, есть несколько, которые мы можем выбрать в качестве альтернативы на основе https://en.wikipedia.org/wiki/Key_server_(cryptographic).
Можно использовать keyserver.ubuntu.com в качестве нового сервера по умолчанию.
Он обновляется довольно быстро и вряд ли исчезнет.
Мы можем либо вставить –keyserver keyserver.ubuntu.com в каждую команду, обращающуюся к серверу ключей, либо изменить наш ~/.gnupg/gpg.conf, найдя некомментированную строку keyserver hkp://keys.gnupg.net и заменив ее на keyserver hkp://keyserver.ubuntu.com.
Мы выбрали подход с конфигурацией и рекомендую сделать то же самое.
Таким образом, все приведенные ниже команды продолжат работать без изменений, и вам не нужно будет помнить об использовании пользовательского сервера каждый раз, когда вы используете gpg.
Изменение конфигурационного файла вступает в силу сразу.
Вам не нужно перезапустить агент.
gpg --search-keys itsecforu@gmail.com gpg --recv-keys D2AD01A3FC57C925 При желании можно уделить ключ. gpg --delete-keys itsecforu@gmail.com
Отправим свой открытый ключ GPG на сервер ключей
gpg --list-keys --keyid-format LONG gpg --send-keys
Это полезно делать, если вы хотите обменяться с кем-то ключами, и вы должны делать это каждый раз, когда меняете свой ключ, например, обновляете дату его истечения.
Импорт открытого ключа GPG другого пользователя из файла
Пусть они выполнят это, чтобы экспортировать свой открытый ключ GPG и отправить его вам.
Теперь вы можете импортировать его следующим образом.
[/simterm] $ gpg –import theirname.gpg.pub[/simterm]
Проверка подписей при мердже ветки с помощью git
Предполагается, что вы уже изменили свой .gitconfig для автоподписания коммитов.
git checkout -b feaure-something touch somefile && git add -A && git commit -m “Hello world” git checkout master git merge --verify-signatures feature-something
На GitHub вы также можете перейти в настройки settings -> branches -> branch protection rules, требующее подписанных коммитов в 1 или более ветках.
Таким образом, вы сможете обеспечить соблюдение этого правила на уровне pr в GitHub.
Имейте в виду, что если вы сделаете все вышеописанное на GitHub, то у вас может быть меньше участников, потому что создание пары ключей GPG требует больших усилий.
Многие крупные проекты так и поступают.