Czy istnieje sposób na „autosign” zatwierdzanie w Git za pomocą klucza GPG?

Czy istnieje prosty sposób, aby Git zawsze podpisywał każdy zatwierdzony lub znacznik, który został utworzony?

Próbowałem z czymś takim jak:

alias commit = commit -S

Ale to nie pomogło.

Nie chcę instalować innego programu, aby tak się stało. Czy jest to wykonalne z łatwością?

Tylko pytanie poboczne, być może zatwierdzenia nie powinny być podpisywane, tylko tagi, których nigdy nie tworzę, ponieważ przesyłam pojedyncze zatwierdzenia dla projektu takiego jak Homebrew itp.

Uwaga: jeśli nie chcesz -Scały czas dodawać, aby upewnić się, że twoje zatwierdzenia są podpisane, jest propozycja (oddział puna razie, grudzień 2013, więc nie ma gwarancji, że trafi do wydania git), aby dodać config, który zajmie się tą opcją dla Ciebie.
Aktualizacja maja 2014: jest w Git 2.0 (po ponownym wysłaniu w tej serii poprawek )

Zobacz zatwierdzenie 2af2ef3 przez Nicolasa Vigiera (boklm) :

Dodaj commit.gpgsignopcję podpisywania wszystkich zatwierdzeń

Jeśli chcesz, aby GPG podpisało wszystkie swoje zobowiązania, musisz -Scały czas dodawać tę opcję.
Opcja commit.gpgsignkonfiguracji umożliwia automatyczne podpisywanie wszystkich zatwierdzeń.

commit.gpgsign

Wartość logiczna określająca, czy wszystkie zatwierdzenia powinny być podpisane przez GPG.
Użycie tej opcji podczas wykonywania operacji takich jak rebase może spowodować podpisanie dużej liczby zatwierdzeń. Wygodne może być użycie agenta, aby uniknąć wpisywania hasła GPG kilka razy.

Ta konfiguracja jest zwykle ustawiana dla każdego repozytorium (nie musisz podpisywać prywatnych eksperymentalnych repozytoriów lokalnych):

cd /path/to/repo/needing/gpg/signature
git config commit.gpgsign true

Połączysz to z user.signingKeyustawieniem globalnym (unikalny klucz używany do wszystkich repozytoriów, w których chcesz podpisać zatwierdzenie)

git config --global user.signingkey F2C7AB29

user.signingKeyzostał wprowadzony w git 1.5.0 (styczeń 2007) z zatwierdzeniem d67778e :

Nie powinno być wymogu używania tej samej formy nazwiska w repozytorium git i kluczu gpg.
Co więcej, mogę mieć wiele kluczy w swoim breloku i mogę chcieć użyć takiego, który nie pasuje do adresu używanego w wiadomościach zatwierdzających.

Ta poprawka dodaje wpis konfiguracji „ user.signingKey”, który, jeśli jest obecny, zostanie przekazany do przełącznika „-u” dla gpg, umożliwiając zastąpienie klucza podpisywania znaczników.

To jest egzekwowane z popełnienia aba9119 (git 1.5.3.2), aby złapać sprawę gdzie Jeśli użytkownik błędnie skonfigurowany user.signingKeyw ich .git/configlub po prostu nie ma żadnych tajnych kluczy na ich kluczy.

Uwagi:

• Umownie, ponieważ git 2.4.0 marca 2015 , jest signingKey, niesigningkey , choć git configklawisze są wrażliwe na wielkość liter. Że będzie miało znaczenia, jeśli nie wyłącznie git config --get-regexp, która jest wielkość liter, w przeciwnym razie jest to tylko konwencja czytelność;
• Jeśli chcesz, aby serwer git sprawdzał sygnaturę dla każdego wypychania , potrzebujesz co najmniej git 2.2+ (październik 2014 r.) ( Zatwierdzenie b945901 ), ponieważ git push --signednie wziął pod uwagę user.signingKeywartości konfiguracji;
• git 2.9 (czerwiec 2016) użyje user.signingKeydo wymuszenia podpisywania tagów z adnotacjami , a także commits : commit 61c2fe0 .

git config --global user.signingKey 9E08524833CB3038FDE385C54C0AFCCFED5CDE14
git config --global commit.gpgSign true

Zastąp 9E08524833CB3038FDE385C54C0AFCCFED5CDE14 swoim identyfikatorem klucza. Pamiętaj: użycie krótkiego identyfikatora nigdy nie jest dobrym pomysłem .

AKTUALIZACJA: Zgodnie z nowym edycją git wszystkie klucze konfiguracji powinny znajdować się w camelCase.

Edit: Począwszy od wersji 1.7.9 Git, to jest możliwe do podpisania zobowiązuje Git ( git commit -S). Lekko aktualizuję odpowiedź, aby to odzwierciedlić.

Tytuł pytania to:

Czy istnieje sposób na „autosign” zatwierdzanie w Git za pomocą klucza GPG?

Krótka odpowiedź: tak, ale nie rób tego.

Adresowanie literówki w pytaniu: git commit -snie podpisuje zatwierdzenia. Zamiast tego ze man git-commitstrony:

-s, --signoff
Dodaj wiersz Signed-off-by przez komisarz na końcu komunikatu dziennika zatwierdzeń.

Daje to wynik dziennika podobny do następującego:

± $ git log                                                                                 [0:43:31]
commit 155deeaef1896c63519320c7cbaf4691355143f5
Author: User Name 
Date:   Mon Apr 16 00:43:27 2012 +0200

    Added .gitignore

    Signed-off-by: User Name 

Zwróć uwagę na bit „Signed-off-by: ...”; wygenerowany przez -sflagę na stronie git-commit.

Cytując e-maila z ogłoszeniem o wydaniu :

• „git commit” nauczył się „-S”, aby GPG podpisał zatwierdzenie; można to pokazać za pomocą opcji „--show-Signature” do „git log”.

Więc tak, możesz podpisywać zatwierdzenia. Jednak osobiście wzywam do ostrożności z tą opcją; automatyczne podpisywanie zatwierdzeń jest bezcelowe, patrz poniżej:

Tylko pytanie poboczne, być może zatwierdzenia nie powinny być podpisywane, tylko tagi, których nigdy nie tworzę, ponieważ przesyłam pojedyncze zatwierdzenia.

To jest poprawne. Zobowiązania nie są podpisane; tagi są. Powód tego można znaleźć w tym przesłaniu Linusa Torvaldsa , którego ostatni akapit mówi:

Podpisywanie każdego zatwierdzenia jest całkowicie głupie. Oznacza to po prostu, że zautomatyzujesz go i sprawisz, że podpis będzie mniej wart. To również nie wnosi żadnej realnej wartości, ponieważ sposób, w jaki łańcuch git DAG w pracy SHA1, potrzebujesz tylko jednego podpisu, aby wszystkie zatwierdzenia dostępne z tego były skutecznie pokryte przez to. Więc podpisywanie każdego zatwierdzenia po prostu nie ma sensu.

Zachęcam do przeglądania połączonej wiadomości, która wyjaśnia, dlaczego automatyczne podpisywanie zatwierdzeń nie jest dobrym pomysłem w znacznie lepszy sposób niż ja.

Jednakże , jeśli chcesz automatycznie podpisać znacznik , będzie można to zrobić poprzez owinięcie git-tag -[s|u]w alias; jeśli masz zamiar to zrobić, prawdopodobnie chcesz ustawić swój identyfikator klucza ~/.gitconfiglub .git/configplik specyficzny dla projektu . Więcej informacji na temat tego procesu można znaleźć w książce społeczności git . Podpisywanie tagów jest nieskończenie bardziej przydatne niż podpisywanie każdego dokonanego zatwierdzenia.

Aby automatyczne podpisywanie działało przed wersją 2.0, musisz dodać alias git do zatwierdzenia.

# git config --global alias.commit commit -S
[alias]
    commit = commit -S

Musisz wyjaśnić, że jeśli podpiszesz zatwierdzenie lub tag, nie oznacza to, że zatwierdzasz całą historię. W przypadku zatwierdzeń podpisujesz tylko pod ręką zmianę, aw przypadku tagu, cóż ... musisz zdefiniować, co masz na myśli. Być może wyciągnąłeś zmianę, która twierdzi, że jest od ciebie, ale nie była (ponieważ ktoś inny pchnął ją do twojego pilota). Lub jest to zmiana, w której nie chcesz być, ale właśnie podpisałeś tag.

W typowych projektach OSS może to być mniej powszechne, ale w scenariuszu korporacyjnym, w którym od czasu do czasu dotykasz kodu i nie czytasz całej historii, może to zostać niezauważone.

Podpisywanie zobowiązań jest problemem, jeśli zostaną one ponownie ustawione lub wybrane przez innych rodziców. Byłoby dobrze, gdyby zmodyfikowane zatwierdzenie mogło wskazywać na „oryginalne” zatwierdzenie, które faktycznie weryfikuje.