github - 我在哪里可以找到从 GitHub.com 完成的提交的公钥？

Question

Git 支持使用 GPG 对提交进行签名，GitHub 将这些提交显示为“已验证”。当您单击已验证标签时，您会看到如下内容:

This commit was signed with a verified signature.

my username

My name

GPG key ID: F66DEF7BA82E8647

当您合并拉取请求时，或者可能是从 Web 界面中进行提交时，它也显示为已验证，但显示不同的消息:

This commit was created on GitHub.com and signed with a verified signature using GitHub’s key.

GPG key ID: 4AEE18F83AFDEB23

当我运行 git log --show-signature ，它将显示我在本地签名的提交，如下所示:

gpg: Signature made 01/25/18 11:52:25 W. Europe Standard Time^M
gpg:                using RSA key 3FA85DEE7B64EB7EC8F97F41F66DEF7BA82E8647^M
gpg: Good signature from "Dude" <somebody@email.com>" [ultimate]^M

到现在为止还挺好。但是，当我遇到合并的拉取请求时，我会得到以下信息:

gpg: Signature made 01/25/18 09:07:45 W. Europe Standard Time^M
gpg:                using RSA key 4AEE18F83AFDEB23^M
gpg: Can't check signature: No public key^M

显然这是因为我没有将公钥添加到我的 GPG key 列表中。问题是:我在哪里可以找到这把 key ？它在某处列出吗？

编辑:显然我已经尝试过谷歌搜索，甚至在 GitHub 的社区论坛上提出了一个问题，但没有得到回答。

Answer 1

根据 GPG 的性质，您希望确定要导入哪些 key 以及签署哪些 key 。你可以在这里找到 GitHub 的 web flow GPG 公钥:

https://github.com/web-flow.gpg

如果要导入公钥，可以使用以下命令:

curl https://github.com/web-flow.gpg | gpg --import

作为 GPG 的用户，您应该评估您对该 key 来源的信任程度。如果您确定它确实属于 GitHub，您可以对其进行签名，并可选择将您的签名发布到 key 服务器，本质上是公开承认您认为该 key 属于它应该属于的人。