求可批量查看本地Git提交签名信息的工具及相关问题解答

Git原生命令就支持批量查询签名信息，无需额外安装工具，可直接通过git log的自定义格式化参数实现：

• 通用查询命令（指定提交区间）：

  git log [起始提交哈希]..[结束提交哈希] --pretty=format:"%h | %an <%ae> | 签名状态：%G? | 提交说明：%s"
  

  参数说明：
  • %h：短格式提交哈希
  • %an：提交作者用户名
  • %ae：提交作者邮箱
  • %G?：签名校验结果，返回值含义如下：
    • G：有效且可信的GPG/SSH签名
    • B：签名被篡改、无效
    • U：签名有效但对应公钥未被本地信任
    • X：签名有效但密钥已过期
    • Y：签名有效但密钥已被撤销
    • R：本地缺少对应公钥无法校验
    • E：签名校验过程出错
    • N：该提交无签名
  • %s：提交说明内容
• 如果需要查看完整的签名详情（如密钥ID、签名时间），可以将格式化参数替换为%GG，会输出git verify-commit的完整校验结果。

多数主流Git可视化工具都内置了签名状态展示能力，只是默认未开启：

• TortoiseGit：打开「显示日志」窗口后，右键点击列表顶部的列标题，勾选「签名状态」选项，即可在日志列表中直接查看每个提交的签名校验结果。
• SourceTree：在日志页面的列配置菜单中，添加「验证状态」列即可展示签名信息。
• VS Code GitLens插件：提交详情页默认展示签名校验状态，也可在配置中开启提交列表的签名状态显示。

主要有三点原因：

1. 受众覆盖率低：绝大多数小型团队、个人开发者没有强制签名提交的要求，功能使用率极低，默认开启会增加普通用户的界面复杂度和认知成本。
2. 依赖本地环境：签名校验需要本地提前导入对应提交者的公钥并配置信任关系，未做相关配置的用户即使开启功能，也只能拿到「无法校验」的无效结果，反而会产生困惑。
3. 性能影响：批量校验签名会明显增加长提交历史仓库的日志加载速度，因此多数工具选择将该功能设置为可选开启项，而非默认配置。

内容的提问来源于stack exchange，提问作者namokarm