Mercurial 克隆数据完整性

Question

我正在将 openJDK 源代码克隆到本地存储库，并且我想确保文件在传输过程中保持完整性。

hg clone http://hg.openjdk.java.net/jdk8/jdk8/

Mercurial 常见问题解答表示，会根据哈希值检查修订日志，“但仅凭这一点还不足以确保有人没有篡改存储库。为此，您需要加密签名。”这是否意味着我需要使用SSH 像这样吗？

hg clone ssh://hg.openjdk.java.net/jdk8/jdk8/

要获得 SSH 访问权限，我是否必须注册为该项目的贡献者？如果是这样，有没有办法在不成为贡献者的情况下获得经过验证的克隆？

Answer 1

SSH 提供传输加密。它确保数据在从 OpenJDK 存储库到您的计算机的传输过程中不会被更改。

Mercurial 常见问题解答正在讨论 signing the commits ，这确保您稍后可以验证这些提交没有被单独篡改。这意味着攻击者无法闯入 OpenJDK 服务器或伪造上游接受的提交，添加项目并不意味着存在的修订。您将能够识别此类修订，因为它们缺少正确的签名或根本没有签名。

SSH 不会保护您免受此类问题的影响，因为 SSH 不关心它传输的数据。恶意(更改或添加)提交的传输与有效修订一样安全。

作为存储库的消费者，您无法稍后添加签名提交。 OpenJDK 项目必须从一开始就将签名构建到其提交过程中。