协作与代码评审75 条

验证提交签名

本地用 git log --show-signature 或 git verify-commit 检查签名有效性；平台上的 Verified 徽标表示签名密钥已在账号中登记。

本地查看	git log --show-signature -3 / git verify-commit <sha>
平台展示	Verified / Unverified 标签；点击可看密钥信息
信任模型	验证「密钥属于该账号」，不等于代码本身正确

常用示例

git log --show-signature -3
git verify-commit HEAD
git log --format='%h %G? %s' -10   # G 有效 / B 坏 / U 不可信 / N 无签名

%G? 的 U 常见于密钥未加入本地信任链；在企业内可约定信任来源后批量校验。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌