Existe uma maneira de "autoassinar" confirmações no Git com uma chave GPG?

Existe uma maneira fácil de fazer o Git sempre assinar cada commit ou tag que é criado?

Eu tentei com algo como:

alias commit = commit -S

Mas isso não deu certo.

Não quero instalar um programa diferente para que isso aconteça. É factível com facilidade?

Apenas uma pergunta secundária: talvez os commits não devam ser assinados, apenas tags, que eu nunca crio, pois envio commits únicos para um projeto como o Homebrew, etc.

Nota: se você não deseja adicionar -So tempo todo para garantir que seus commits sejam assinados, existe uma proposta (filial ' pu', por enquanto, dezembro de 2013, portanto, não há garantia de que seja uma versão git) para adicionar um config que cuidará dessa opção para você.
Atualização de maio de 2014: está no Git 2.0 (depois de reenviar nesta série de patches )

Veja commit 2af2ef3 de Nicolas Vigier (boklm) :

Adicione a commit.gpgsignopção para assinar todas as confirmações

Se você deseja assinar o GPG com todos os seus commits, é necessário adicionar a -Sopção o tempo todo.
A commit.gpgsignopção de configuração permite assinar todas as confirmações automaticamente.

commit.gpgsign

Um booleano para especificar se todas as confirmações devem ser assinadas por GPG.
O uso dessa opção ao executar operações como rebase pode resultar em um grande número de confirmações sendo assinadas. Pode ser conveniente usar um agente para evitar digitar sua senha do GPG várias vezes.

Essa configuração geralmente é definida por repo (você não precisa assinar seus repositórios locais experimentais particulares):

cd /path/to/repo/needing/gpg/signature
git config commit.gpgsign true

Você combinaria isso com user.signingKeyusado como uma configuração global (chave exclusiva usada para todos os repositórios em que você deseja assinar o commit)

git config --global user.signingkey F2C7AB29

user.signingKeyfoi introduzido no git 1.5.0 (janeiro de 2007) com o commit d67778e :

Não deve haver um requisito de que eu use a mesma forma do meu nome no meu repositório git e na minha chave gpg.
Além disso, posso ter várias chaves no meu chaveiro e querer usar uma que não corresponda ao endereço usado nas mensagens de confirmação.

Este patch adiciona uma entrada de configuração " user.signingKey" que, se presente, será passada para a opção "-u" do gpg, permitindo que a chave de assinatura da etiqueta seja substituída.

Isso é reforçado com comprometer aba9119 (git 1.5.3.2), a fim de pegar o caso Se o usuário tiver configurado incorretamente user.signingKeyem sua .git/configou simplesmente não tem nenhum chaves secretas em seu chaveiro.

Notas:

• Por convenção, uma vez git 2.4.0 março 2015 , é signingKey, nãosigningkey , embora as git configteclas são caso insensível. Isso importa somente se você faz git config --get-regexp, que é sensível a maiúsculas, caso contrário, é apenas uma convenção legibilidade;
• Se você deseja que o servidor git verifique a assinatura de cada envio , será necessário pelo menos git 2.2+ (outubro de 2014) ( confirmação b945901 ), pois git push --signedfalhou ao considerar o user.signingKeyvalor de configuração;
• O git 2.9 (junho de 2016) será usado user.signingKeypara forçar a assinatura de tags anotadas e também confirma: commit 61c2fe0 .

git config --global user.signingKey 9E08524833CB3038FDE385C54C0AFCCFED5CDE14
git config --global commit.gpgSign true

Substitua 9E08524833CB3038FDE385C54C0AFCCFED5CDE14 pelo seu ID da chave. Lembre-se: nunca é uma boa ideia usar o código curto .

ATUALIZAÇÃO: Por um novo edital do git , todas as chaves de configuração devem estar no camelCase.

Edit: A partir do Git versão 1.7.9, que é possível assinar commits Git ( git commit -S). Atualizando a resposta um pouco para refletir isso.

O título da pergunta é:

Existe uma maneira de "autoassinar" confirmações no Git com uma chave GPG?

Resposta curta: sim, mas não faça isso.

Resolver o erro de digitação na pergunta: git commit -snão assina a confirmação. Pelo contrário, na man git-commitpágina:

-s, --signoff
Adiciona linha assinada pelo confirmador no final da mensagem de log de confirmação.

Isso fornece uma saída de log semelhante à seguinte:

± $ git log                                                                                 [0:43:31]
commit 155deeaef1896c63519320c7cbaf4691355143f5
Author: User Name 
Date:   Mon Apr 16 00:43:27 2012 +0200

    Added .gitignore

    Signed-off-by: User Name 

Observe o bit "assinado por: ..."; que foi gerado pela -sbandeira no git-commit.

Citando o e - mail do anúncio de lançamento :

• "git commit" learns -S "para GPG-assine o commit; isso pode ser mostrado com a opção "--show-signature" em "git log".

Então, sim, você pode assinar confirmações. No entanto, peço cautela com esta opção; assinar automaticamente confirmações é quase inútil, veja abaixo:

Apenas uma pergunta secundária: talvez as confirmações não devam ser assinadas, apenas as tags que nunca crio, pois envio confirmações únicas.

Está correto. As confirmações não são assinadas; tags são. A razão para isso pode ser encontrada nesta mensagem por Linus Torvalds , cujo último parágrafo diz:

Assinar cada confirmação é totalmente estúpido. Significa apenas que você a automatiza e faz com que a assinatura valha menos. Ele também não agrega nenhum valor real, já que, da maneira como a cadeia DAG do GIT do SHA1 funciona, você só precisa de uma assinatura para tornar todos os commits acessíveis a partir daquele que são efetivamente cobertos por esse. Portanto, assinar cada confirmação está simplesmente sem entender.

Eu incentivaria uma navegação na mensagem vinculada, que esclarece por que a assinatura confirmada automaticamente não é uma boa idéia de uma maneira muito melhor do que eu poderia.

No entanto , se você quiser assinar automaticamente uma tag , poderá fazê-lo colocando o git-tag -[s|u]alias em um alias; se você fizer isso, provavelmente desejará configurar seu ID de chave ~/.gitconfigou o .git/configarquivo específico do projeto . Mais informações sobre esse processo podem ser vistas no livro da comunidade git . A assinatura de tags é infinitamente mais útil do que a assinatura de cada confirmação que você faz.

Para fazer a assinatura automática funcionar antes da versão 2.0 do git, você precisará adicionar o alias do git para confirmação.

# git config --global alias.commit commit -S
[alias]
    commit = commit -S

Você precisa deixar claro que, se você assinar um commit ou tag, isso não significa que você aprova todo o histórico. No caso de commits, você assina apenas a alteração em mãos e, no caso de tag, bem ... você precisa definir o que quer dizer com isso. Você pode ter efetuado uma alteração que afirma ser sua, mas não foi (porque alguém a colocou no controle remoto). Ou é uma alteração na qual você não deseja participar, mas acabou de assinar a tag.

Em projetos OSS típicos, isso pode ser menos comum, mas em um cenário corporativo em que você apenas toca o código de vez em quando e não lê todo o histórico, isso pode passar despercebido.

Assinar confirmações é um problema se elas forem rebatizadas ou escolhidas a dedo para outros pais. Mas seria bom se um commit modificado pudesse apontar para o commit "original" que realmente verifica.