如何使用GoReleaser用需口令的GPG密钥签名二进制文件？

1. 如何使用GoReleaser对需要输入口令的GPG密钥完成二进制文件签名？ #

GoReleaser原生不支持该操作，官方明确说明：

GoReleaser 不支持使用需要输入口令的 GPG 密钥对二进制文件进行签名。

如果确实有这类需求，只能通过自定义流程绕开GoReleaser的原生逻辑实现：

• 方案1：执行GoReleaser任务前，提前调用GPG命令行工具解锁对应密钥，让密钥在当前会话中处于无口令即可调用的状态，再触发GoReleaser的签名流程
• 方案2：在GoReleaser构建完二进制文件后，自行编写脚本调用GPG命令完成签名操作，再将生成的签名文件手动加入最终的发布物料列表中

2. Terraform官方推荐的GoReleaser配置未使用sign相关参数，是否意味着所有使用该配置的项目都采用无密码的公开GPG密钥？ #

这个结论不成立，原因如下：

• 该脚手架配置省略sign参数，是因为Terraform Provider的签名逻辑不需要在项目级的GoReleaser配置中定义。提交到Terraform官方Registry的官方和合作类Provider，签名步骤由HashiCorp内部统一的CI/CD发布流水线处理：在GoReleaser完成二进制构建后，官方签名服务会接管后续的签名流程，不需要在单个项目的GoReleaser配置里声明相关参数。
• 社区维护的第三方Provider，通常也会把签名逻辑放在CI流程的独立步骤中实现，避免和GoReleaser的构建配置耦合，同样不需要在GoReleaser配置里添加sign字段。

内容的提问来源于stack exchange，提问作者Alex Kuzmin