Git及GitHub/GitLab是否支持提交者外多方的提交/标签签名？

默认情况下，Git仅允许提交者（committer）或打标签者（tagger）对提交（commit）或标签（tag）进行签名，这个设计有其合理性。但我们希望让更多与提交/标签相关的角色也能参与签名，包括：

• 提交的作者（author）
• 添加Signed-off-by或Co-authored-by尾注的人员
• 代码评审者
• 测试人员
• 变基（rebase）或拣选（cherry-pick）操作中，早期提交对象的提交者/作者

目前已有第三方工具实现类似方案，但Git本身的签名配置和使用门槛已经不低，依赖第三方工具会进一步降低用户的使用意愿。因此想咨询：Git本身或GitHub、GitLab这类主流Git托管平台是否直接支持上述多方签名机制？

核心结论 #

Git 核心本身不原生支持你描述的这种多方签名机制——它的签名体系从设计上就仅绑定提交者/打标签者的身份，无法直接让多个角色对同一提交/标签添加独立的可验证签名。

主流托管平台的现状 #

GitHub #

GitHub 没有直接提供多方Git签名的原生支持，仅能通过间接方式模拟类似效果：

• 依赖PR评审批准记录：评审者通过平台界面批准PR，这是平台层面的身份确认，但不属于Git签名体系，无法通过Git命令验证。
• 自定义提交尾注：要求相关人员添加Reviewed-by: Name <email>这类文本标记，但这些只是纯文本，平台不会自动校验标记对应的身份真实性，也无法像Git签名那样通过密钥验证。

GitLab #

GitLab 的情况与GitHub一致：

• 无原生多方Git签名支持，评审者的批准仅作为平台工作流的操作记录，不纳入Git提交的签名验证体系。
• 可通过自定义CI/CD流程要求特定角色完成身份验证，但这属于平台扩展的工作流，并非Git核心的签名机制。

第三方工具的局限性 #

第三方工具（如部分开源的多方签名工具）确实能实现多方签名，但存在明显的使用门槛：

• 需要团队统一安装配置工具，额外维护密钥管理流程。
• 生成的签名无法被Git原生命令（如git verify-commit）识别，也不会被GitHub/GitLab等平台自动校验，仅能在团队内部自定义流程中生效。

内容的提问来源于stack exchange，提问作者Daniel H