Sigstore gitsign 使用教程

Sigstore gitsign 使用教程

gitsign Keyless Git signing using Sigstore 项目地址: https://gitcode.com/gh_mirrors/gi/gitsign

1. 项目介绍

gitsign 是一个开源项目，由 Sigstore 提供支持，它使用 Sigstore 的无密钥签名机制，允许用户使用自己的 GitHub 或 OIDC 身份对 Git 提交进行签名。这种签名方式不需要传统的 GPG 密钥，而是使用 OIDC 令牌进行身份验证和签名，使得 Git 提交的签名过程更加简洁和安全。

2. 项目快速启动

安装

使用 Homebrew 安装：

brew install gitsign

或者使用 Go 直接安装：

go install github.com/sigstore/gitsign@latest

配置

对于单个仓库的配置：

cd /path/to/my/repository
git config --local gpg.x509.program gitsign
git config --local gpg.format x509
git config --local commit.gpgsign true
git config --local tag.gpgsign true

对于所有仓库的全局配置：

git config --global gpg.x509.program gitsign
git config --global gpg.format x509
git config --global commit.gpgsign true
git config --global tag.gpgsign true

请注意，上述配置将使 Git 提交和标签依赖于互联网连接。

3. 应用案例和最佳实践

签名提交

配置完成后，当你执行 git commit 命令时，gitsign 会自动为你的提交进行签名。

签名标签

同样，当你创建一个新标签时，gitsign 也会自动签名：

git tag -s my-tag

验证签名

可以使用 git verify-commit 或 git verify-tag 来验证签名。

4. 典型生态项目

Sigstore 生态系统中还包括以下项目：

• cosign：用于容器镜像的签名和验证。
• fulcio：提供 OIDC 到 x509 证书的转换。
• rekor：一个透明日志，用于存储不可变的签名记录。

以上项目共同构建了一个完整的签名和验证生态系统，适用于现代软件开发工作流。

gitsign Keyless Git signing using Sigstore 项目地址: https://gitcode.com/gh_mirrors/gi/gitsign