git配置GPG签名提交的方法【教程】

Git提交签名这件事，还真不是“打开开关就完事”那么简单。先说一个判断：稳定运行的前提，是GPG密钥、Git配置、密码管理这三者必须对齐。如果只单独设了commit.gpgsign true，大概率会卡在输密码环节，或者提交上去后平台不认账。

检查 GPG 是否就绪，密钥邮箱必须匹配

签名失败最常见的原因，说起来其实挺基础：你生成的GPG密钥里，根本没有包含当前git config user.email所用的邮箱，或者这个邮箱压根没在GitHub/GitLab上验证过。这就好比拿错身份证去办业务，系统当然不认。

• 先确认当前提交用的邮箱：跑一下 git config user.email
• 再查本地密钥列表：gpg --list-secret-keys --keyid-format=long，重点看 uid 那一行是否含了上面的邮箱
• 如果不匹配，要么重新生成密钥（gpg --full-generate-key），要么用 gpg --edit-key KEYID 把邮箱加进去
• 最后把公钥导出：gpg --armor --export KEYID，然后复制粘贴到GitHub的Settings → SSH and GPG keys页面就行

Git 得知道用哪个密钥，以及用哪个 GPG 程序

光设个commit.gpgsign true远远不够，Git还需要知道“用谁签”和“谁来签”——尤其macOS或WSL环境下，很容易调错二进制文件。

• 指定签名密钥：git config --global user.signingkey ABCDEF1234567890（换成你自己的密钥ID）
• 打开全局签名开关：git config --global commit.gpgsign true
• 显式指明GPG程序路径：git config --global gpg.program gpg，或者更稳妥地写成 /usr/bin/gpg
• 如果你用的是较新macOS加GPG Suite，还可以加一句：git config --global gpg.ssh.allowedSignersFile ~/.gnupg/allowed_signers（这一步只涉及SSH签名场景）

每次提交都弹密码框？或者直接报错？

GPG默认每次签名都会唤起pinentry密码弹窗程序。可问题是，很多终端环境——比如VS Code内置终端、远程SSH会话——根本弹不出GUI窗口，结果就是卡住或报错gpg: signing failed: No pinentry。

• 先检查是否启用了loopback模式：grep "pinentry-mode" ~/.gnupg/gpg.conf，确保里面有 pinentry-mode loopback
• 重启agent让它生效：gpgconf --kill gpg-agent && gpgconf --launch gpg-agent
• macOS用户建议直接装GPG Suite，它自动和系统钥匙串集成，体验好很多；Windows用户可以用Gpg4win自带的Kleopatra管理密码缓存
• 测试下签名是否通：跑 echo test | gpg --clearsign 2>/dev/null，不报错就说明基本可用了

签名成功≠平台显示Verified

这里有个容易踩的坑：本地签名跑通了，不代表GitHub或GitLab就一定显示“Verified”。平台只认你账户里上传过的公钥，而且签名用的邮箱必须是平台已验证过的。

• 推送后去GitHub仓库的Commits页面，点开最新提交，右上角有没有显示 Verified？没有的话，点进提交详情，再点“Verify signature”看看具体原因（最常见的就是邮箱不匹配或公钥没上传）
• 也可以在本地命令行验证：git show -s --show-signature HEAD，输出里有 Good signature from 才算本地真的签成功了
• GitLab要注意一个细节：它不查公钥服务器，只认你手动粘贴的公钥；而且密钥里必须至少有一个邮箱和GitLab账户绑定的已验证邮箱完全一致，一个字都不能差

说到底，真正麻烦的从来不是敲几行配置命令，而是密钥的生命周期管理。比如密钥过期后忘了更新平台上的公钥，或者换公司邮箱了却没同步GPG uid——这些问题不会报错，只会让你的新提交悄悄变成Unverified，而你很可能两周后打开PR才注意到。