在软件开发的过程中，安全性始终是一个至关重要的话题。尤其是在开源项目中，确保代码的可信度显得尤为重要。GitHub作为全球最大的开源代码托管平台，提供了一种通过GPG密钥来签署提交的功能，这不仅提高了代码的安全性，也为用户提供了更多的信任基础。本文将详细介绍如何在GitHub上设置和使用GPG密钥，帮助您更好地管理代码安全。
什么是GPG密钥？
GPG密钥（GNU Privacy Guard）是一种用于加密和签名数据的密钥对。它包括一个公钥和一个私钥：
- 公钥：可以公开分享，用于加密信息和验证签名。
- 私钥：需要妥善保管，不能泄露，用于解密信息和生成签名。
在GitHub中，GPG密钥的主要用途是对提交进行签名，以证明该提交确实是由特定的开发者发出的。
如何生成GPG密钥
在使用GPG密钥之前，您需要先生成一个新的GPG密钥对。以下是生成GPG密钥的步骤：
1. 安装GPG工具
根据您所使用的操作系统安装GPG工具：
- Windows：可以使用Gpg4win
- macOS：可以通过Homebrew安装，命令为
brew install gnupg - Linux：通常已经预装，或者可以使用包管理器安装，命令为
sudo apt-get install gnupg（Ubuntu/Debian）
2. 生成密钥
打开终端并运行以下命令： bash gpg –full-generate-key
选择密钥类型（一般选择默认选项），然后设置密钥的有效期，接着输入您的姓名和邮箱地址。
3. 导出公钥
使用以下命令导出公钥： bash gpg –armor –export your_email@example.com
将输出的公钥复制，稍后将在GitHub中使用。
将GPG密钥添加到GitHub
生成密钥后，您需要将公钥添加到您的GitHub账户中。
1. 登录GitHub
访问 GitHub 并登录到您的账户。
2. 进入设置
点击右上角的头像，然后选择“Settings”。
3. 找到GPG密钥选项
在左侧菜单中，找到“SSH and GPG keys”选项，并点击它。
4. 添加GPG密钥
点击“New GPG key”按钮，粘贴您之前导出的公钥，然后点击“Add GPG key”。
在Git中配置GPG密钥
添加完GPG密钥后，您需要在Git中配置它，以确保每次提交都进行签名。
1. 设置全局GPG密钥
使用以下命令告诉Git使用您的GPG密钥： bash git config –global user.signingkey your_key_id
您可以通过 gpg --list-secret-keys --keyid-format LONG 找到您的密钥ID。
2. 启用签名提交
要使每次提交都自动签名，您可以运行以下命令： bash git config –global commit.gpgSign true
如何验证签名的提交
在GitHub上，您可以轻松验证您的提交是否被正确签名。每个签名的提交旁边会显示一个“Verified”标志，这表明该提交是由持有相应私钥的用户签名的。
FAQ
GPG密钥有什么作用？
GPG密钥用于签署和加密数据。在GitHub上，它主要用于对提交进行签名，从而增加代码的可信度。
如何找回丢失的GPG密钥？
如果丢失了私钥，您将无法找回，因为私钥是唯一的。如果您已生成新的GPG密钥，需要重新在GitHub上添加新密钥，并更新代码库中的签名。
为什么我的提交显示为未验证？
如果提交显示为未验证，可能是因为：
- 您使用的公钥未被添加到GitHub账户中。
- 您的私钥与公钥不匹配。
GPG密钥的有效期设置应该如何选择？
选择适当的有效期取决于您的使用需求。短期有效期更安全，但需要定期更新；长期有效期则方便但可能面临更高的风险。
如何更改或删除GitHub中的GPG密钥？
在“SSH and GPG keys”页面，找到您想要更改或删除的密钥，点击右侧的“Delete”按钮进行删除，或重新添加新的公钥。
