java - 为什么使用 Maven-GPG-Plugin 使用 GnuPG 对项目的 Artifact 进行签名？

Question

我有两个问题要问；

首先，我需要知道使用“GnuPG”对 java 项目的 Artifact 进行签名的重要性。

我目前的情况是我正在考虑发布我的第一个公共(public) java 项目。我正在使用 Maven 来构建和管理项目，并遇到了“Maven-GPG-Plugin”。该插件的文档非常模糊，没有描述为什么应该使用“GnuPG”对 Artifact 进行签名。我没有使用 GnuPG/Maven-GPG 的经验，所以我想知道使用这个 Maven 插件有什么好处？

我的第二个问题是如何在 Eclipse 中的 java 项目中使用这个插件？

在构建项目时，只需将以下内容添加到我的 pom.xml 即可为我签署该项目吗？

<build>
<plugins>
  <plugin>
    <groupId>org.apache.maven.plugins</groupId>
    <artifactId>maven-gpg-plugin</artifactId>
    <executions>
      <execution>
        <id>sign-artifacts</id>
        <phase>verify</phase>
        <goals>
          <goal>sign</goal>
        </goals>
      </execution>
    </executions>
  </plugin>
</plugins>
</build>

如果没有，我该如何在 Eclipse 中使用 Maven 正确签署项目？

谢谢!

Answer 1

我没有实际使用 GnuPG 和 Maven 的经验(我从未发布过 Maven 插件)，因此我的回答仅限于您问题的第一部分。

The documentation on the plugin is extremely vague and does not describe why one should sign artifacts with "GnuPG". I have no experience with GnuPG/Maven-GPG, so I am wondering what the benefit is of using this maven plugin?

简单的哈希和，只能用于实现像位翻转这样的意外传输问题。与这些不同的是，GnuPG 发布加密签名，它也能够识别传输问题，而且还使您能够验证签名数据的作者。

如果没有加密签名，就无法知道您正在下载和执行的代码/程序是否确实是您所期望的。就在最近，一次又一次丢失或未经验证的加密签名会导致带有后门的下载Linux Mint had such an issue .

加密签名并不意味着代码是正确的并且没有(安全)问题，但至少知道您拥有与作者发布的相同的代码，这大大减少了后门的机会。