Git签名验证
Git签名验证[编辑 | 编辑源代码]
Git签名验证是Git版本控制系统中用于确保提交和标签的真实性与完整性的安全机制。通过使用加密签名（如GPG或SSH密钥），开发者可以证明其身份，并防止恶意篡改代码历史。本指南将详细介绍签名验证的工作原理、配置方法及实际应用。
概述[编辑 | 编辑源代码]
在分布式版本控制系统中，任何人都可以修改本地仓库并伪造提交者信息。Git签名验证通过以下方式解决此问题：
- 提交签名：使用私钥对提交内容生成数字签名
- 标签签名：对版本标签附加密码学签名
- 验证机制：其他用户可用公钥验证签名的真实性
签名过程基于非对称加密原理： 解析失败 (语法错误): {\displaystyle 签名 = Sign(私钥, 提交内容)} 解析失败 (语法错误): {\displaystyle 验证 = Verify(公钥, 签名, 提交内容)}
配置签名验证[编辑 | 编辑源代码]
1. 生成GPG密钥[编辑 | 编辑源代码]
首先需要安装GPG工具并生成密钥对：
# 生成新密钥（推荐RSA 4096位）
gpg --full-generate-key
# 列出现有密钥
gpg --list-secret-keys --keyid-format LONG
输出示例：
sec rsa4096/3AA5C34371567BD2 2023-01-01 [SC]
Key fingerprint = 4EE6 8E2A 3AA5 C343 7156 7BD2 1234 5678 9012 3456
uid [ultimate] Alice Developer <alice@example.com>
2. 配置Git使用GPG[编辑 | 编辑源代码]
将密钥ID告知Git：
git config --global user.signingkey 3AA5C34371567BD2
git config --global commit.gpgsign true # 自动签名所有提交
签名操作[编辑 | 编辑源代码]
签名提交[编辑 | 编辑源代码]
创建签名提交（若未设置自动签名）：
git commit -S -m "Signed commit message"
输出会显示签名信息：
[main 1a2b3c4] Signed commit 1 file changed, 1 insertion(+) gpg: Signature made Tue Jan 1 12:00:00 2023 UTC gpg: using RSA key 3AA5C34371567BD2 gpg: Good signature from "Alice Developer <alice@example.com>"
签名标签[编辑 | 编辑源代码]
创建签名标签：
git tag -s v1.0 -m "Version 1.0 release"
验证签名[编辑 | 编辑源代码]
验证单个提交[编辑 | 编辑源代码]
git verify-commit HEAD
成功验证输出：
gpg: Signature made Tue Jan 1 12:00:00 2023 UTC gpg: using RSA key 3AA5C34371567BD2 gpg: Good signature from "Alice Developer <alice@example.com>"
验证标签[编辑 | 编辑源代码]
git tag -v v1.0
查看日志中的签名[编辑 | 编辑源代码]
添加--show-signature选项：
git log --show-signature -1
签名验证流程[编辑 | 编辑源代码]
实际案例[编辑 | 编辑源代码]
案例：Linux内核开发
Linux项目要求所有核心提交必须使用签名验证：
1. 开发者向邮件列表发送补丁时附带签名
2. 维护者通过git am --verify-signature验证补丁
3. 只有通过验证的补丁才会被合并
典型工作流：
# 生成签名补丁
git format-patch -1 --stdout | gpg --clearsign > patch.txt
# 验证签名补丁
git am --verify-signature patch.txt
常见问题[编辑 | 编辑源代码]
Q: 如何解决"gpg failed to sign the data"错误？ A: 确保：
- GPG代理正在运行（
gpgconf --launch gpg-agent） - Git配置了正确的GPG程序路径（
git config --global gpg.program $(which gpg)）
Q: 团队如何共享公钥？ A: 推荐方法： 1. 开发者上传公钥到密钥服务器：
gpg --send-keys KEYID
2. 其他成员导入密钥：
gpg --recv-keys KEYID
高级主题[编辑 | 编辑源代码]
使用SSH密钥签名[编辑 | 编辑源代码]
Git 2.34+支持SSH密钥签名：
git config --global gpg.format ssh
git config --global user.signingkey ~/.ssh/id_ed25519.pub
签名策略配置[编辑 | 编辑源代码]
通过git config设置不同级别的签名要求：
# 要求所有推送的提交必须签名
git config --global push.gpgsign true
# 要求标签必须签名
git config --global tag.gpgsign true
安全注意事项[编辑 | 编辑源代码]
- 私钥必须妥善保管（建议使用硬件安全模块）
- 定期轮换密钥（建议每年更新）
- 撤销已泄露的密钥：
gpg --gen-revoke KEYID > revoke.asc
gpg --import revoke.asc
gpg --keyserver hkp://keyserver.ubuntu.com --send-keys KEYID