签名与安全

# 任何人都可以冒充他人
git config user.name "Linus Torvalds"
git config user.email "torvalds@linux-foundation.org"
git commit -m "fix: some issue"

# 对本次提交进行 GPG 签名（会弹出 GPG 密码输入提示）
git commit -S -m "feat: add authentication module"

# 指定使用的 GPG 密钥
git commit -S <key-id> -m "feat: add authentication module"

# 也可以配置为默认签名
git config commit.gpgsign true

# 查看签名信息（git log 展示）
git log --show-signature -1

# 查看 commit 对象的原始内容
git cat-file -p <commit-hash>

tree a1b2c3d4e5f6...
parent f6e5d4c3b2a1...
author Zhang Zhengyang <zhang@example.com> 1700000000 +0800
committer Zhang Zhengyang <zhang@example.com> 1700000000 +0800
gpgsig -----BEGIN PGP SIGNATURE-----
 iQIzBAABCAAdFiEE...（多行 Base64 编码的签名数据）
 ...
 -----END PGP SIGNATURE-----

feat: add authentication module

# 验证单个提交的签名
git verify-commit <commit-hash>

# 在 log 中显示签名状态
git log --show-signature

# 只显示签名状态摘要
git log --format="%h %G? %s"
# %G? 输出含义：
# G - 签名有效
# B - 签名无效（bad）
# U - 签名有效但信任度未知（unknown）
# X - 签名已过期
# Y - 签名的密钥已过期
# R - 签名的密钥已撤销
# E - 无法验证签名（找不到公钥）
# N - 没有签名

# 创建 GPG 签名标签
git tag -s v1.0.0 -m "Release version 1.0.0"

# 指定 GPG 密钥
git tag -s <key-id> v1.0.0 -m "Release version 1.0.0"

# 也可以在注解标签基础上追加签名
git tag -a -s v1.0.0 -m "Release version 1.0.0"

git cat-file -p v1.0.0

object a1b2c3d4e5f6...
type commit
tag v1.0.0
tagger Zhang Zhengyang <zhang@example.com> 1700000000 +0800
-----BEGIN PGP SIGNATURE-----
 iQIzBAABCAAdFiEE...（签名数据）
-----END PGP SIGNATURE-----

Release version 1.0.0

# 验证标签签名
git tag -v v1.0.0

# 验证时需要对应的公钥在 GPG 密钥环中
# 如果公钥不存在，验证会失败并提示找不到公钥

# 1. 将签名格式切换为 SSH
git config gpg.format ssh

# 2. 指定用于签名的 SSH 公钥路径
git config user.signingkey ~/.ssh/id_ed25519.pub

# 3. 开启自动签名（可选）
git config commit.gpgsign true
git config tag.gpgsign true

# 现在 git commit -S 和 git tag -s 将使用 SSH 签名
git commit -S -m "feat: add SSH signing support"
git tag -s v2.0.0 -m "Release with SSH signature"

# 创建 allowedSignersFile
cat > ~/.ssh/allowed_signers <<EOF
zhang@example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI...
alice@example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI...
EOF

# 配置 Git 使用此文件进行验证
git config gpg.ssh.allowedSignersFile ~/.ssh/allowed_signers

<email> <key-type> <public-key-data>

项目 Settings → Repository → Push Rules → "Commit signature" → Require signed commits

# 服务器端钩子示例：拒绝未签名的推送
# pre-receive 钩子
while read oldrev newrev refname; do
    for commit in $(git rev-list $oldrev..$newrev); do
        signature=$(git cat-file -p $commit | grep -c "^gpgsig")
        if [ "$signature" -eq 0 ]; then
            echo "ERROR: Commit $commit is not signed. Signed commits are required."
            exit 1
        fi
    done
done

对象内容 ──SHA-1──→ 对象名称（40 位十六进制）

# 完整性检查
git fsck --full

# 典型输出
# Checking object directories: 100% (256/256), done.
# Checking objects: 100% (1234/1234), done.
# （无输出 = 一切正常）

# 常见错误类型
# missing <type> <hash>     — 对象文件不存在
# corrupt <type> <hash>     — 对象内容损坏（哈希不匹配）
# dangling <type> <hash>    — 不可达的对象（不一定是错误，可能是未合并的暂存对象）

# 查看仓库使用的哈希算法
git config --get extensions.objectformat
# 默认不输出（即 SHA-1），如果输出 sha256 则使用 SHA-256

# 使用 HTTPS 克隆
git clone https://github.com/user/repo.git

# HTTPS 通信流程
客户端 ←──TLS 握手──→ 服务器
  │                        │
  │  ←──加密的 Git 协议──→  │
  │                        │
  │  ←──加密的对象数据──→   │

# 使用 SSH 克隆
git clone git@github.com:user/repo.git

# SSH 的双重保障
1. 服务器认证：客户端验证服务器的 host key（~/.ssh/known_hosts）
2. 客户端认证：服务器验证客户端的公钥（~/.ssh/authorized_keys）

# 常见触发场景
git clone https://github.com/private/repo.git   # 克隆私有仓库
git push                                         # 推送需要认证
git fetch                                        # 拉取私有仓库更新

# 配置 credential helper
git config --global credential.helper cache          # 内存缓存
git config --global credential.helper store          # 明文存储（不推荐）
git config --global credential.helper osxkeychain    # macOS Keychain
git config --global credential.helper libsecret      # Linux 密钥环

# cache 模式可自定义超时时间
git config --global credential.helper 'cache --timeout=3600'  # 1 小时

# 可以配置多个 helper，Git 按顺序查找
git config --global credential.helper osxkeychain
git config --global credential.helper 'cache --timeout=300'
# 先查 osxkeychain，没找到再查 cache，都没有则交互式提示

URL: https://alice@github.com/user/repo.git
分解为：
  protocol = https
  host     = github.com
  username = alice        （可选，URL 中包含时）
  path     = user/repo    （部分 helper 支持 path 级别的精细化匹配）

# 1. 优先使用系统密钥环（不要用 store）
git config --global credential.helper osxkeychain    # macOS
git config --global credential.helper libsecret      # Linux

# 2. 使用 Personal Access Token 替代密码（GitHub 已禁用密码认证）
# 在 GitHub Settings → Developer settings → Personal access tokens 生成
# 使用时密码字段填入 token

# 3. 使用 SSH 密钥替代 HTTPS 凭证（无需 credential helper）
git remote set-url origin git@github.com:user/repo.git

# 4. 为不同仓库配置不同的凭证
# 在 .git/config 中设置（仓库级别）
[credential]
    helper = cache --timeout=3600

# 5. 清除已存储的凭证
git credential reject <<EOF
protocol=https
host=github.com
EOF

# 6. 使用 credential.${URL}.helper 为特定域名指定 helper
git config --global credential.https://github.com.helper osxkeychain
git config --global credential.https://gitlab.com.helper cache