如何让Git拉取时自动验证分支HEAD的PGP签名？

实现方案 #

Git没有直接对应commit.gpgSign的全局反向配置，但可以通过以下两种简便方式实现需求：

• 使用Git钩子（推荐）
  在本地仓库的.git/hooks目录下创建post-merge文件（拉取操作本质是fetch+merge，这个钩子会在merge完成后触发），写入以下脚本：

  #!/bin/bash
  # 获取当前分支HEAD的提交ID
  HEAD_COMMIT=$(git rev-parse HEAD)
  # 验证提交的PGP签名
  if ! git verify-commit "$HEAD_COMMIT"; then
      echo "错误：当前分支HEAD的PGP签名无效，拉取操作已终止"
      # 回滚本次merge操作
      git reset --hard HEAD@{1}
      exit 1
  fi
  

  保存后给钩子添加执行权限：chmod +x .git/hooks/post-merge
  之后每次git pull完成后，都会自动验证HEAD签名，无效则回滚并返回失败状态。

• 自定义Git别名
  如果不想用钩子，可以创建一个替代git pull的别名，拉取后自动验证：

  git config --global alias.pull-verify '!git pull && git verify-commit HEAD || (echo "签名无效，拉取失败" && exit 1)'
  

  之后用git pull-verify代替git pull即可，签名无效时会直接提示并退出。

注意事项 #

• 确保本地已导入并信任对应提交者的GPG公钥，否则git verify-commit会默认判定签名无效。
• 如果需要验证git fetch后的分支HEAD，可以修改post-fetch钩子，或者创建类似的fetch-verify别名。

内容的提问来源于stack exchange，提问作者Tenders McChiken