Git 多作者提交场景下使用多GPG密钥完成签名验证的方法咨询

可以实现，Git原生单次提交对象仅支持单条gpgsig字段存储签名，你可以通过以下两种兼容现有Co-Authored-by工作流的方案满足多作者分别用GPG（含物理安全密钥）签名验证的合规要求：

• 操作步骤：
  1. 第一作者完成代码修改后，编写提交消息时标注所有协作作者的Co-Authored-by信息，执行带签名的提交：

     git commit -S -m "提交说明" -m "Co-authored-by: 作者2 <作者2邮箱>" -m "Co-authored-by: 作者3 <作者3邮箱>"
     

  2. 第一作者将提交推送到共享功能分支后，其余协作作者拉取最新代码，对该提交执行空 amend 操作完成独立签名，不要修改提交内容和消息：

     git commit --allow-empty -S --amend --no-edit
     

  3. 所有作者完成签名后，执行git log --show-signature -1即可查看该提交对应的所有GPG签名校验结果
• 优势：完全兼容Git原生校验规则，GitHub、GitLab等主流代码托管平台可直接识别所有签名状态，无需额外工具支持
• 注意点：签名过程中修改提交内容/消息会导致之前的签名失效，需所有协作作者重新签名

• 操作步骤：
  1. 团队内部统一约定提交消息末尾新增自定义的Co-Authored-Sig-XXX字段，用于存储对应协作作者的GPG签名内容
  2. 第一作者生成初始提交后，将该提交的哈希值同步给所有协作作者，各作者使用自己的GPG密钥（绑定物理安全密钥的可直接触发硬件校验）对该哈希值做离线分离签名：

     gpg --detach-sign --armor <提交哈希值文本文件路径>
     

  3. 第一作者收集所有协作作者的签名内容后，按约定格式追加到提交消息末尾，重新执行签名提交即可
  4. 合规校验时，先提取提交哈希值，再逐一匹配提交消息中存储的签名和对应作者的公钥完成身份验证：

     gpg --verify <签名内容文本> <提交哈希值文本>
     

• 优势：所有签名、作者信息统一存储在同一个提交对象中，审计时无需追溯提交历史，方便合规归档留存

• 校验前需将所有协作作者的GPG公钥提前导入校验环境的信任链，避免出现未知签名校验失败的问题
• 两种方案均完全兼容现有Co-Authored-by标记的作者统计逻辑，不会影响现有工作流的贡献值统计规则

内容的提问来源于stack exchange，提问作者dane