为什么需要配置Git签名
在团队协作开发中，代码提交的真实性至关重要。Git默认只会记录提交者的邮箱和名字，任何人都可以随意修改这些信息，导致无法准确追踪代码到底是谁写的。开启Git签名后，每次提交都会附带一个由私钥生成的数字签名，能够彻底验证提交者的身份，防止恶意篡改或冒充提交，同时也能满足企业合规审计的要求。无论是个人开发者还是团队负责人，掌握这项技能都能显著提升项目安全性。
准备阶段安装必要工具
Git本身不具备生成签名的能力，需要依赖外部工具。目前主流方案是使用GPG或者SSH密钥。Windows用户推荐直接安装Gpg4win，Mac系统可以通过Homebrew命令brew install gpg快速完成部署，Linux发行版大多自带GnuPG。安装完成后，打开终端或命令行窗口，输入gpg version查看版本号，确认工具已正确识别。如果提示找不到命令，请检查环境变量是否配置了可执行文件路径。
生成密钥对并导出公钥
打开终端后运行gpg full key命令，按照界面提示依次选择算法、有效期和用途。为了方便日常使用，建议将有效期设为永久，算法优先选择RSA或EdDSA。接着输入真实姓名、邮箱地址和密码短语。密码不要过于简单，但也要确保自己能记住，因为后续每次签名都需要输入它。生成成功后，使用gpg list secrets命令找到对应指纹，然后通过gpg export命令将公钥导出为文本文件。这一步非常关键，因为后续的Git平台如GitHub或GitLab需要导入这段公钥才能验证你的签名。
将公钥添加到代码托管平台
登录你的代码管理平台，进入账户设置中的SSH与GPG密钥页面。点击新增密钥按钮，把刚才导出的公钥内容完整粘贴进去。注意不要遗漏任何换行符或首尾空格，否则平台会拒绝保存。添加成功后，平台会显示该密钥的状态为已验证。此时你可以尝试用本地仓库进行一次测试提交，观察页面是否出现绿色的Verified标记。如果显示未验证，请检查公钥是否与本地私钥完全匹配，以及邮箱是否与Git全局配置一致。
配置Git全局启用签名
所有准备工作就绪后，需要在本地Git客户端中绑定密钥ID。运行git config user.signingkey命令，后面跟上你刚才生成的GPG指纹或主键ID。为了省去每次手动指定签名的麻烦，继续执行git config commit.gpgsign true以及tag.gpgsign true，这样以后所有普通提交和标签都会自动带上签名。如果你习惯使用SSH作为传输协议，也可以将git config push.default current改为matching模式，避免推送时出现权限冲突。这些配置全部写入用户的配置文件，切换电脑时记得同步备份。
验证签名效果与常见问题处理
完成上述步骤后，随便创建一个新文件并提交。在终端输入git log show signature查看详细信息，正常情况下会显示good signature字样。如果发现签名失效，大概率是邮箱不匹配或者缓存了旧的密钥信息。清理Git凭证管理器重新绑定账号即可解决。部分企业内网环境可能会拦截外网请求导致公钥上传失败，此时可联系运维申请白名单。遇到密码输入框频繁弹出的情况，建议安装gpg agent配合图形界面管理工具，实现一次性认证长期有效。掌握这套流程后，你的每一次代码交付都将具备不可抵赖的法律效力，极大提升开发规范水平。
