如何 select maven-gpg-plugin 用于签署工件的 GnuPG 密钥？

Question

我正在使用 maven-gpg-plugin 对 maven 工件进行签名。这工作正常，但我的 GnuPG 密钥环中有几个密钥，并且想使用一个与 GnuPG selects.

不同的密钥

GnuPG select 如果有多个"default" 键怎么办？
是否可以指定要在 maven-gpg-plugin 配置中使用的密钥？ keyname 似乎不起作用（我假设它 select 是密钥环，而不是特定的密钥）。

Answer 1

How does GPG select the "default" key if there are several ones?

如果没有另外定义（例如，使用 default-key 选项），GnuPG 默认选择密钥环中的第一个密钥。来自 man gpg:

--default-key name

    Use name as the default key to sign with. If this option is not used,
    the default key is the first key found in the secret keyring. Note 
    that -u or --local-user overrides this option.

Is there a possibility to specify the key to be used in the maven-gpg-plugin configuration? It seems that "keyname" doesn't work (I assume it selects the keyring, but not a specific key).

如果您不想让 GnuPG 自动决定使用哪个键，<keyname>[keyname]</keyname> 选择要使用的键。我希望这是作为 local-key 选项传递的，因此它应该支持短密钥 ID 和长密钥 ID、指纹和用户 ID。 GnuPG 手册包含 list of ways to specify keys.

大多数描述如何在此处指定密钥的手册都使用短密钥 ID，我强烈建议不要这样做 because of collision attacks，而是使用整个指纹。

还有更多选项可以更改键的选择。有关各个选项的更多详细信息，请参阅 Maven GnuPG plugin manual：

使用 secretKeyring
使用 homedir
使用 gpgArguments

local-user

如何 select maven-gpg-plugin 用于签署工件的 GnuPG 密钥？

How to select the GnuPG key that the maven-gpg-plugin uses to sign artifacts?

java

gnupg

maven