¿Hay alguna forma de "autofirmar" confirmaciones en Git con una clave GPG?

¿Hay una manera fácil de hacer que Git siempre firme cada confirmación o etiqueta que se crea?

Lo probé con algo como:

alias commit = commit -S

Pero eso no funcionó.

No quiero instalar un programa diferente para que esto suceda. ¿Es factible con facilidad?

Solo una pregunta secundaria, tal vez las confirmaciones no deberían firmarse, solo etiquetas, que nunca creo, ya que envío confirmaciones individuales para un proyecto como Homebrew, etc.

Nota: si no desea agregar -Stodo el tiempo para asegurarse de que sus confirmaciones estén firmadas, hay una propuesta (rama ' pu' por ahora, diciembre de 2013, por lo que no hay garantía de que llegue a un lanzamiento de git) para agregar un config que se encargará de esa opción por usted.
Actualización de mayo de 2014: está en Git 2.0 (después de reenviarse en esta serie de parches )

Ver commit 2af2ef3 por Nicolas Vigier (boklm) :

Agregue la commit.gpgsignopción para firmar todas las confirmaciones

Si desea que GPG firme todas sus confirmaciones, debe agregar la -Sopción todo el tiempo.
La commit.gpgsignopción de configuración permite firmar todas las confirmaciones automáticamente.

commit.gpgsign

Un booleano para especificar si todas las confirmaciones deben estar firmadas por GPG.
El uso de esta opción cuando se realizan operaciones como rebase puede resultar en la firma de un gran número de confirmaciones. Puede ser conveniente utilizar un agente para evitar escribir su frase de contraseña GPG varias veces.

Esa configuración generalmente se establece por repositorio (no necesita firmar sus repositorios locales experimentales privados):

cd /path/to/repo/needing/gpg/signature
git config commit.gpgsign true

Combinaría eso con user.signingKeyutilizado como una configuración global (clave única utilizada para todos los repositorios donde desea firmar confirmación)

git config --global user.signingkey F2C7AB29

user.signingKeyse introdujo en git 1.5.0 (enero de 2007) con commit d67778e :

No debería haber un requisito de que use la misma forma de mi nombre en mi repositorio git y mi clave gpg.
Además, podría tener varias claves en mi llavero, y podría querer usar una que no coincida con la dirección que uso en los mensajes de confirmación.

Este parche agrega una entrada de configuración "user.signingKey " que, si está presente, se pasará al modificador "-u" para gpg, permitiendo que se anule la clave de firma de etiqueta.

Esto se aplica con commit aba9119 (git 1.5.3.2) para detectar el caso en el que si el usuario ha configurado maluser.signingKey en su .git/configcuenta o no tiene ningún claves secretas en su llavero.

Notas:

• Por convención, desde git 2.4.0 de marzo de 2015 , no lo es signingKey,signingkey aunque las git configteclas no distinguen entre mayúsculas y minúsculas. Eso solo importaría si lo haces git config --get-regexp, que es entre mayúsculas y minúsculas, de lo contrario, es sólo una convención legibilidad;
• Si desea que el servidor git verifique la firma para cada inserción , necesitará git 2.2+ (octubre de 2014) al menos ( commit b945901 ), ya que git push --signedno consideró eluser.signingKey valor de configuración;
• git 2.9 (junio de 2016) se utilizará user.signingKeypara forzar la firma de etiquetas anotadas y confirmaciones: commit 61c2fe0 .

git config --global user.signingKey 9E08524833CB3038FDE385C54C0AFCCFED5CDE14
git config --global commit.gpgSign true

Reemplace 9E08524833CB3038FDE385C54C0AFCCFED5CDE14 por su ID de clave. Recuerde: nunca es una buena idea usar la ID corta .

ACTUALIZACIÓN: Por un nuevo decreto git , todas las claves de configuración deben estar en camelCase.

Editar: A partir de la versión 1.7.9 de Git, que es posible firmar confirmaciones Git (git commit -S ). Actualizando ligeramente la respuesta para reflejar esto.

El título de la pregunta es:

¿Hay alguna forma de "autofirmar" confirmaciones en Git con una clave GPG?

Respuesta corta: sí, pero no lo hagas.

Abordar el error tipográfico en la pregunta: git commit -sno firma el compromiso. Más bien, de la man git-commitpágina:

-s, --signoff
Agrega una línea firmada por el confirmador al final del mensaje de registro de confirmación.

Esto proporciona una salida de registro similar a la siguiente:

± $ git log                                                                                 [0:43:31]
commit 155deeaef1896c63519320c7cbaf4691355143f5
Author: User Name 
Date:   Mon Apr 16 00:43:27 2012 +0200

    Added .gitignore

    Signed-off-by: User Name 

Tenga en cuenta el bit "Firmado por: ..."; que fue generado por la -sbandera en elgit-commit .

Citando el correo electrónico de anuncio de lanzamiento :

• "git commit" aprendido "-S" a GPG-firma el commit; Esto se puede mostrar con la opción "--show-signature" para "git log".

Entonces sí, puedes firmar confirmaciones. Sin embargo, personalmente insto a la precaución con esta opción; la firma automática de confirmaciones no tiene sentido, vea a continuación:

Solo una pregunta secundaria, tal vez las confirmaciones no deberían firmarse, solo etiquetas, que nunca creo, ya que envío confirmaciones individuales.

Eso es correcto. Los compromisos no están firmados; las etiquetas son La razón de esto se puede encontrar en este mensaje de Linus Torvalds , cuyo último párrafo dice:

Firmar cada confirmación es totalmente estúpido. Simplemente significa que lo automatizas y haces que la firma valga menos. Tampoco agrega ningún valor real, ya que la forma en que funciona la cadena git DAG de SHA1, solo necesita una firma para que todas las confirmaciones accesibles desde esa estén efectivamente cubiertas por esa. Por lo tanto, firmar cada confirmación simplemente pierde el punto.

Animaría a examinar el mensaje vinculado, lo que aclara por qué firmar confirmaciones automáticamente no es una buena idea de una manera mucho mejor de lo que podría.

Sin embargo , si desea firmar automáticamente una etiqueta , podrá hacerlo envolviéndola git-tag -[s|u]en un alias; si va a hacer eso, probablemente desee configurar su identificación de clave ~/.gitconfigo el .git/configarchivo específico del proyecto . Se puede ver más información sobre ese proceso en el libro de la comunidad de git . Firmar etiquetas es infinitamente más útil que firmar cada confirmación que realice.

Para que la firma automática funcione antes de la versión 2.0 de git, deberá agregar el alias de git para commit.

# git config --global alias.commit commit -S
[alias]
    commit = commit -S

Debe dejar en claro que si firma una confirmación o etiqueta, no quiere decir que aprueba todo el historial. En caso de confirmaciones, solo firma el cambio en cuestión y, en caso de etiqueta, bueno ... debe definir qué quiere decir con él. Es posible que haya realizado un cambio que dice que es suyo pero que no lo fue (porque alguien más lo empujó a su control remoto). O es un cambio en el que no desea participar, pero acaba de firmar la etiqueta.

En los proyectos típicos de OSS, esto podría ser menos común, pero en un escenario empresarial donde solo toca el código de vez en cuando y no lee todo el historial, puede pasar desapercibido.

Firmar confirmaciones es un problema si se rebajan o se eligen a otros padres. Pero sería bueno si una confirmación modificada pudiera apuntar a la confirmación "original" que realmente verifica.