| 场景 | Maven Central 强制 GPG 签名；RPM/DEB 仓库元数据签名；git tag -s |
|---|---|
| 形态 | 分离签名 .asc 或内嵌签名 |
| 验证 | gpg --verify 对照发布方的公钥指纹 |
签名与验证
签名与验证
gpg --detach-sign -a app-1.9.0.tar.gz
gpg --verify app-1.9.0.tar.gz.asc app-1.9.0.tar.gz
git tag -s v1.9.0 -m "release 1.9.0"签名密钥等同于发布身份：使用子密钥签名、主密钥离线，公开指纹与轮换说明。