为 Git 配置 GPG 签名

Fri, 29 Mar 2024 20:32:12 +0800

前言

在 Git 中，GPG 签名是一种非常重要的安全机制，它可以确保提交的真实性，防止提交被篡改。

Git 的 user.name 和 user.email 是可以随便填的，任何人都能用你的名字和邮箱提交代码。而 GPG 签名用的是只有你自己持有的私钥，别人伪造不了。本文将介绍如何为 Git 配置 GPG 签名。

原理

签名和验证的过程大致如下：

私钥留在本地，git commit 时用它给提交签名；
公钥上传到 GitHub（或其他平台），平台用它验证签名，通过后在提交旁显示 Verified。

生成 GPG 密钥

首先，我们需要生成 GPG 密钥。如果你已经有 GPG 密钥，可以跳过这一步。

1

gpg --full-generate-key

接下来，按照提示选择密钥类型、有效期，并输入你的姓名、电子邮件地址和密码。

这里填的邮箱要和 Git 的 user.email 一致，并且是 GitHub 账号里已验证的邮箱，否则 GitHub 上会显示 Unverified。

配置 Git 使用 GPG 签名

首先，我们需要查询 GPG 密钥的 ID：

1

gpg --list-secret-keys --keyid-format=long

输出中 sec 一行斜杠后面的那串就是密钥 ID：

随后将你的密钥告知 Git：

1

git config --global user.signingkey <GPG_KEY_ID>

然后，我们需要告诉 Git 使用 GPG 签名提交和标签：

1
2


git config --global commit.gpgsign true
git config --global tag.gpgSign true

如果提示 `gpg failed to sign the data`

GPG 需要知道当前终端才能弹出密码输入框，把下面这行加到 ~/.zshrc 或 ~/.bashrc：

1

export GPG_TTY=$(tty)

macOS 上推荐用 pinentry-mac 弹窗输入密码（还能存进钥匙串）：

1
2
3


brew install gnupg pinentry-mac
echo "pinentry-program $(brew --prefix)/bin/pinentry-mac" >> ~/.gnupg/gpg-agent.conf
gpgconf --kill gpg-agent

上传公钥到 GitHub

导出公钥（ASCII 格式）：

1

gpg --armor --export <GPG_KEY_ID>

复制从 -----BEGIN PGP PUBLIC KEY BLOCK----- 到 -----END PGP PUBLIC KEY BLOCK----- 的全部内容，打开 GitHub → Settings → SSH and GPG keys → New GPG key，粘贴保存即可。

之后推送的签名提交，在 GitHub 上就会显示 Verified 标记。

配置 Git 使用 GPG 签名追溯

如果你想要在 git log 中默认显示签名信息，可以使用以下命令：

1

git config --global log.showSignature true

也可以临时查看或单独验证某个提交：

1
2


git log --show-signature -1
git verify-commit HEAD

看到 Good signature from ... 就说明签名有效。

结语

至此，你已经成功为 Git 配置了 GPG 签名。从此，你的 Git 提交 / 追溯更加安全。祝你使用愉快！

GitHub on Tuan's Blog

为 Git 配置 GPG 签名

前言

原理

生成 GPG 密钥

配置 Git 使用 GPG 签名

如果提示 `gpg failed to sign the data`

上传公钥到 GitHub

配置 Git 使用 GPG 签名追溯

结语

参考

GitHub on Tuan's Blog

为 Git 配置 GPG 签名

前言

原理

生成 GPG 密钥

配置 Git 使用 GPG 签名

如果提示 gpg failed to sign the data

上传公钥到 GitHub

配置 Git 使用 GPG 签名追溯

结语

参考

如果提示 `gpg failed to sign the data`