Git'te GPG anahtarıyla “otomatik atama” yapmanın bir yolu var mı?

Git'i oluşturulan her bir taahhüdü veya etiketi her zaman imzalatmanın kolay bir yolu var mı?

Gibi bir şey ile denedim:

takma ad taahhüt = taahhüt -S

Ama bu işe yaramadı.

Bunun gerçekleşmesi için farklı bir program yüklemek istemiyorum. Kolayca yapılabilir mi?

Sadece bir yan soru, belki taahhütler imzalanmamalı, sadece asla yaratmadığım etiketler, Homebrew gibi bir proje için tek taahhütler gönderirken.

Not: -Staahhütlerinizin imzalandığından emin olmak için her zaman eklemek istemiyorsanız pu, Aralık 2013 için şimdilik bir teklif var (şube ' ', bu yüzden bir git sürümüne bunu yapacağının garantisi yok) Bu seçeneği sizin için halledecek yapılandırma.
Mayıs 2014 Güncellemesi: Git 2.0'da ( bu yama serisinde yeniden gönderildikten sonra )

Nicolas Vigier (boklm) tarafından taahhüt edilen 2af2ef3'e bakınız :

commit.gpgsignTüm taahhütleri imzalama seçeneğini ekleyin

Tüm taahhütlerinizi GPG olarak imzalamak istiyorsanız, -Sseçeneği her zaman eklemeniz gerekir . Yapılandırma seçeneği otomatik olarak tüm kaydedilmesini imzalamasını sağlar.
commit.gpgsign

commit.gpgsign

Tüm taahhütlerin GPG imzalı olup olmadığını belirtmek için bir mantıksal.
Rebase gibi işlemler yaparken bu seçeneğin kullanılması çok sayıda işlemin imzalanmasına neden olabilir. GPG parolanızı birkaç kez yazmaktan kaçınmak için bir aracı kullanmak uygun olabilir.

Bu yapılandırma genellikle repo başına ayarlanır (özel deneysel yerel depolarınızı imzalamanız gerekmez):

cd /path/to/repo/needing/gpg/signature
git config commit.gpgsign true

Bunu user.signingKeyglobal bir ayar olarak kullanılanla birleştirirsiniz (taahhüt işlemini imzalamak istediğiniz tüm repolar için kullanılan benzersiz anahtar)

git config --global user.signingkey F2C7AB29

user.signingKeyd67778e taahhüdü ile git 1.5.0'da (Ocak 2007) tanıtıldı :

Git depomda ve gpg anahtarımda aynı adı kullanmam gerekmiyor.
Ayrıca, anahtarlığımda birden fazla anahtar olabilir ve tamamlama iletilerinde kullandığım adresle eşleşmeyen bir anahtar kullanmak isteyebilirsiniz.

Bu düzeltme eki user.signingKey, " " varsa, gpg için "-u" anahtarına geçirilecek ve etiket imzalama anahtarının geçersiz kılınmasına olanak tanıyacak bir yapılandırma girişi ekler .

Bu birlikte uygulanır taahhüt aba9119 kullanıcı yanlış ayarlanmış ise davayı yakalamak için (git 1.5.3.2) user.signingKeykendi içinde .git/configkendi anahtarlık herhangi gizli tuşları yoksa sadece ya.

Notlar:

• Geleneksel olarak, Git 2.4.0 Mart 2015 yılından bu yana , öyle signingKeydeğil,signingkey olsa git configtuşları küçük harfe duyarlı değildir. Bu sadece bunu yaparsanız önemlidir git config --get-regexp, bu da büyük / küçük harfe duyarlıdır, aksi takdirde yalnızca okunabilirlik sözleşmesidir;
• İsterseniz git sunucu her itme için imzayı kontrol etmek , sen en azından (2.2+ (2014 ekim) budala gerekir b945901 taahhüt ) gibi git push --signeddikkate başarısız user.signingKeyyapılandırma değeri;
• git 2.9 (Haziran 2016), user.signingKeyaçıklamalı etiketlerin imzalanmasını zorlamak için kullanacak ve taahhüt eder: taahhüt 61c2fe0 .

git config --global user.signingKey 9E08524833CB3038FDE385C54C0AFCCFED5CDE14
git config --global commit.gpgSign true

9E08524833CB3038FDE385C54C0AFCCFED5CDE14 anahtar kimliğinizle değiştirin. Unutmayın: Kısa kimliği kullanmak asla iyi bir fikir değildir .

GÜNCELLEME: Başına yeni git ferman , tüm yapılandırma anahtarları CamelCase olmalıdır.

Düzenleme: Git sürümü 1.7.9 itibariyle bu olduğunu mümkün Git kaydedilmesini imzalamak için ( git commit -S). Bunu yansıtmak için cevabı biraz güncellemek.

Soru başlığı:

Git'te GPG anahtarıyla “otomatik atama” yapmanın bir yolu var mı?

Kısa cevap: evet, ama yapma.

Sorudaki yazım hatasını adreslemek: git commit -staahhüdü imzalamaz. Aksine, man git-commitsayfadan:

-s, --signoff İşleme
günlüğü iletisinin sonundaki anahtar tarafından imzalanan satırı ekleyin.

Bu, aşağıdakine benzer bir günlük çıktısı verir:

± $ git log                                                                                 [0:43:31]
commit 155deeaef1896c63519320c7cbaf4691355143f5
Author: User Name 
Date:   Mon Apr 16 00:43:27 2012 +0200

    Added .gitignore

    Signed-off-by: User Name 

"İmzalayan: ..." bitine dikkat edin; -süzerindeki bayrak tarafından üretildi git-commit.

Sürüm duyuru e-postasından alıntı :

• GPG-imzasını imzalamak için "git commit" öğrendi "-S"; bu "git log" seçeneğine "--show-signature" seçeneği ile gösterilebilir.

Yani evet, taahhütleri imzalayabilirsiniz. Ancak, bu seçenekle bizzat dikkatli davranıyorum; otomatik imzalama taahhütlerinin yanında anlamsızdır, aşağıya bakın:

Sadece bir yan soru, belki de taahhütlerin imzalanmaması gerekir, sadece tek taahhütler gönderirken asla yaratmadığım etiketler.

Bu doğru. Taahhütler imzalanmamıştır; etiketler. Bunun nedeni , son paragrafında yazan Linus Torvalds tarafından bu mesajda bulunabilir :

Her bir taahhüdü imzalamak tamamen aptalca. Bu sadece otomatikleştirdiğiniz anlamına gelir ve imzayı daha az değerli hale getirirsiniz. Ayrıca herhangi bir gerçek değer katmaz, çünkü SHA1'in git DAG-zincirinin çalışması sırasında, tüm taahhütlerin bundan etkin bir şekilde kapsanabilmesi için sadece bir imzaya ihtiyacınız vardır . Yani her bir taahhüdü imzalamak basitçe eksik.

Bağlantılı iletiye göz atmayı teşvik ederim, bu da otomatik olarak imzalamanın neden işlediğimden çok daha iyi bir fikir olmadığını açıklar.

Ancak , otomatik olarak bir etiketi imzalamak istiyorsanız , bunu git-tag -[s|u]bir takma adla sararak yapabilirsiniz ; bunu yapacaksanız, muhtemelen anahtar kimliğinizi ~/.gitconfigveya projeye özgü .git/configdosyayı ayarlamak istersiniz . Bu süreç hakkında daha fazla bilgi git topluluk kitabında görülebilir . Etiketleri imzalamak, yaptığınız her taahhüdü imzalamaktan çok daha yararlıdır.

Otomatik imzalamanın çalışma öncesi sürüm 2.0'dan önce çalışması için, kesinleştirmek için git takma adı eklemeniz gerekir.

# git config --global alias.commit commit -S
[alias]
    commit = commit -S

Bir taahhüdü veya etiketi imzalarsanız, tüm geçmişi onayladığınız anlamına gelmediğini açıkça belirtmeniz gerekir. Taahhüt durumunda, sadece eldeki değişikliği imzalarsınız ve etiket durumunda, bununla ne demek istediğinizi tanımlamanız gerekir. Sizden olduğunu iddia eden ama olmayan bir değişiklik yapmış olabilirsiniz (çünkü başka biri onu uzaktan kumandanıza itti). Ya da, içinde olmak istemediğiniz bir değişikliktir, ancak etiketi imzaladınız.

Tipik OSS projelerinde bu daha az yaygın olabilir, ancak sadece arada bir koda dokunduğunuz ve tüm geçmişi okumadığınız bir kurumsal senaryoda fark edilmeyebilir.

Taahhüt imzalamak, diğer ebeveynlere yeniden basacak veya kiraz alacaksa bir problemdir. Ancak, değiştirilmiş bir taahhüdün gerçekten doğrulayan "orijinal" taahhüdü göstermesi iyi olur.