Git笔记（28）签署工作

超、凢脫俗 2023-07-11 06:21 33阅读 0赞

### Git笔记（28） 签署工作 ###

*  1. 签署工作
 *  2. GPG 介绍
 *  3. 签署标签
 *  4. 验证标签
 *  5. 签署提交
 *  6. 使用环境

--------------------

# 1. 签署工作 #

Git 虽然是密码级安全的，但它不是万无一失的  
如果从因特网上的其他人那里拿取工作，并且想要验证提交是不是真正地来自于可信来源  
Git 提供了几种通过 GPG 来签署和验证工作的方式。

--------------------

# 2. GPG 介绍 #

首先，在开始签名之前需要先配置 GPG 并安装个人密钥

$ gpg --list-keys
    /Users/schacon/.gnupg/pubring.gpg
    ---------------------------------
    pub   2048R/0A46826A 2014-06-04
    uid                  Jove (Git signing key) <jove@gmail.com>
    sub   2048R/874529A9 2014-06-04

如果还没有安装一个密钥，可以使用 `gpg --gen-key` 生成一个

gpg --gen-key

一旦有一个可以签署的私钥，可以通过设置 Git 的 `user.signingkey` 选项来签署

git config --global user.signingkey 0A46826A

现在 Git 默认使用你的密钥来签署标签与提交

--------------------

# 3. 签署标签 #

如果已经设置好一个 GPG 私钥，可以使用它来签署新的标签  
所有需要做的只是使用 `-s` 代替 `-a` 即可：

$ git tag -s v1.5 -m 'my signed 1.5 tag'
    
    You need a passphrase to unlock the secret key for
    user: "Jove <jove@straub.cc>"
    2048-bit RSA key, ID 800430EB, created 2014-05-04

如果在那个标签上运行 `git show`，会看到你的 GPG 签名附属在后面：

$ git show v1.5
    tag v1.5
    Tagger: Jove <jove@straub.cc>
    Date:   Sat May 3 20:29:41 2014 -0700
    
    my signed 1.5 tag
    -----BEGIN PGP SIGNATURE-----
    Version: GnuPG v1
    
    iQEcBAABAgAGBQJTZbQlAAoJEF0+sviABDDrZbQH/09PfE51KPVPlanr6q1v4/Ut
    LQxfojUWiLQdg2ESJItkcuweYg+kc3HCyFejeDIBw9dpXt00rY26p05qrpnG+85b
    hM1/PswpPLuBSr+oCIDj5GMC2r2iEKsfv2fJbNW8iWAXVLoWZRF8B0MfqX/YTMbm
    ecorc4iXzQu7tupRihslbNkfvfciMnSDeSvzCpWAHl7h8Wj6hhqePmLm9lAYqnKp
    8S5B/1SSQuEAjRZgI4IexpZoeKGVDptPHxLLS38fozsyi0QyDyzEgJxcJQVMXxVi
    RUysgqjcpT8+iQM1PblGfHR4XAhuOqN5Fx06PSaFZhqvWFezJ28/CLyX5q+oIVk=
    =EFTF
    -----END PGP SIGNATURE-----
    
    commit ca82a6dff817ec66f44342007202690a93763949
    Author: Jove <jove@gee-mail.com>
    Date:   Mon Mar 17 21:52:11 2008 -0700
    
        changed the version number

--------------------

# 4. 验证标签 #

要验证一个签署的标签，可以运行 `git tag -v [tag-name]`  
这个命令使用 GPG 来验证签名  
为了验证能正常工作，签署者的公钥需要在你的钥匙链中

$ git tag -v v1.4.2.1
    object 883653babd8ee7ea23e6a5c392bb739348b1eb61
    type commit
    tag v1.4.2.1
    tagger Jasek <jasek@cox.net> 1158138501 -0700
    
    GIT 1.4.2.1
    
    Minor fixes since 1.4.2, including git-mv and git-http with alternates.
    gpg: Signature made Wed Sep 13 02:08:25 2006 PDT using DSA key ID F3119B9A
    gpg: Good signature from "Jasek <jasek@cox.net>"
    gpg:                 aka "[jpeg image of size 1513]"
    Primary key fingerprint: 3565 2A26 2040 E066 C9A7  4A7D C0C6 D9A4 F311 9B9A

如果没有签署者的公钥，那么你将会得到类似下面的东西：

gpg: Signature made Wed Sep 13 02:08:25 2006 PDT using DSA key ID F3119B9A
    gpg: Can't check signature: public key not found error: could not verify the tag 'v1.4.2.1'

--------------------

# 5. 签署提交 #

如果相对于标签而言，对直接签署到提交更感兴趣的话  
所有要做的只是增加一个 `-S` 到 `git commit` 命令

$ git commit -a -S -m 'signed commit'
    
    You need a passphrase to unlock the secret key for
    user: "Jove (Git signing key) <jove@gmail.com>"
    2048-bit RSA key, ID 0A46826A, created 2014-06-04
    
    [master 5c3386c] signed commit
     4 files changed, 4 insertions(+), 24 deletions(-)
     rewrite Rakefile (100%)
     create mode 100644 lib/git.rb

`git log` 也有一个 `--show-signature` 选项来查看及验证这些签名

$ git log --show-signature -1
    commit 5c3386cf54bba0a33a32da706aa52bc0155503c2
    gpg: Signature made Wed Jun  4 19:49:17 2014 PDT using RSA key ID 0A46826A
    gpg: Good signature from "Jove (Git signing key) <jove@gmail.com>"
    Author: Jove <jove@gmail.com>
    Date:   Wed Jun 4 19:49:17 2014 -0700
    
        signed commit

另外，也可以配置 `git log` 来验证任何找到的签名并将它们以 `%G?` 格式列在输出中

$ git log --pretty="format:%h %G? %aN %s"
    
    5c3386c G Jove  signed commit
    ca82a6d N Jove  changed the version number
    085bb3b N Jove  removed unnecessary test code
    a11bef0 N Jove  first commit

这里可以看到只有最后一次提交是签署并有效的，而之前的提交都不是

`git merge` 与 `git pull` 可以使用 `--verify-signatures` 选项  
来检查并拒绝没有携带可信 GPG 签名的提交  
如果使用这个选项来合并一个包含未签名或有效的提交的分支时，合并不会生效

$ git merge --verify-signatures non-verify
    fatal: Commit ab06180 does not have a GPG signature.

如果合并包含的只有有效的签名的提交  
合并命令会提示所有的签名它已经检查过了然后会继续向前

$ git merge --verify-signatures signed-branch
    Commit 13ad65e has a good GPG signature by Jove (Git signing key) <jove@gmail.com>
    Updating 5c3386c..13ad65e
    Fast-forward
     README | 2 ++
     1 file changed, 2 insertions(+)

也可以给 `git merge` 命令附加 `-S` 选项来签署自己生成的合并提交  
下面的例子演示了验证将要合并的分支的每一个提交都是签名的  
并且签署最后生成的合并提交

$ git merge --verify-signatures -S  signed-branch
    Commit 13ad65e has a good GPG signature by Jove (Git signing key) <jove@gmail.com>
    
    You need a passphrase to unlock the secret key for
    user: "Jove (Git signing key) <jove@gmail.com>"
    2048-bit RSA key, ID 0A46826A, created 2014-06-04
    
    Merge made by the 'recursive' strategy.
     README | 2 ++
     1 file changed, 2 insertions(+)

--------------------

# 6. 使用环境 #

如果决定在正常的工作流程中使用它，必须确保团队中的每一个人都理解如何这样做  
如果没有，将会花费大量时间帮助其他人找出并用签名的版本重写提交  
在采用签署成为标准工作流程的一部分前，确保完全理解 GPG 及签署带来的好处

--------------------

参考： [git][]  
以上内容，均根据git官网介绍删减、添加和修改组成

--------------------