使用gpg密钥验证github提交

版权声明：本文为博主原创文章，转载请注明出处。 https://cloud.tencent.com/developer/article/1454311

git是现在最流行的版本控制工具，而且它确实功能很强大。在使用git之前，首先要设置用户名和电子邮箱两个参数。可能有人会有疑问，假如两个不同的人使用相同的用户名和电子邮箱进行提交，会怎么样呢？答案是可以的，git本身无法判断，所以会把这两个人识别为同一个人。为了可靠的验证每一次提交，git提供了gpg密钥的验证功能。

首先我们需要安装gpg工具，可以用Linux系统、Windows 10的Linux子系统、Git Bash工具等等，它们基本上都包含gpg工具。

创建gpg密钥

首先验证一下gpg版本。

如果gpg版本在2.1.17以上，就用下面的命令：

gpg --full-generate-key

如果gpg版本在2.1.17以下，用下面的命令：

gpg --default-new-key-algo rsa4096 --gen-key

然后按照提示输入密钥类型、密钥长度、过期时间、用户名、密码等信息，其中密钥长度推荐4096，其他按需输入即可。

密钥创建完毕之后，用下面的命令来列出已经创建好的密钥ID：

gpg --list-secret-keys --keyid-format LONG

然后就可以查看密钥内容了，你需要将ID替换为自己的：

gpg --armor --export 831CF40177EA9999

密钥内容以-----BEGIN PGP PUBLIC KEY BLOCK-----开始，以-----END PGP PUBLIC KEY BLOCK-----结束。

向github添加gpg密钥

首先打开github用户设置，然后在SSH and GPG keys中添加GPG密钥，然后将上面得到的包括BEGIN和END在内的东西复制进去并选择添加，这样就完成了GPG密钥的添加工作。

当然，细心的同学会发现这里截图的密钥ID和上面生成的好像不一样，因为一开始我是在Git Bash中设置生成的gpg密钥，最后添加到github中。但是为了截图，所以我又在WSL中重新运行了一下命令，所以生成的密钥不一样。由于它们都是非对称加密，所以公钥和密钥ID可以公开展示。

在git中设置gpg密钥

最后一步就是在本地git中设置gpg密钥了。首先用下面的命令列出所有gpg密钥ID：

gpg --list-secret-keys --keyid-format LONG

然后将密钥ID添加到git设置中：

git config --global user.signingkey 831CF40177EA9999

如果要让当前git项目启用签名验证，使用下面的命令：

git config commit.gpgsign true

如果要让所有项目都启用签名验证：

git config --global commit.gpgsign true

这样一来，在使用git commit命令提交的时候，就会用gpg来签名提交，当然也可以在提交的时候使用git commit -S参数来显式启用验证。

最后，当项目提交到Github之后，点击进入提交详情查看的时候，就可以看到一个绿色的Verified标志，表示这次提交已经经过验证，确认是作者本人的提交了。