如何选择Maven-gpg-plugin用于对工件进行签名的GnuPG密钥？

Question

我正在使用maven-gpg-plugin对Maven工件进行签名。这可以正常工作，但是我的GnuPG密钥环中有多个密钥，并且希望使用与GnuPG选择的密钥不同的密钥。

1. 如果有多个按键，GnuPG如何选择“默认”按键？

2. 是否可以指定要在maven-gpg-plugin配置中使用的密钥？似乎keyname不起作用（我假设它选择了钥匙圈，但没有选择特定的钥匙）。

Answer 1

如果有多个，GPG如何选择“默认”键？

GnuPG 默认选择密钥环中的第一个密钥，如果没有另外定义（例如，使用default-key选项）。来自man gpg：

--default-key name

    Use name as the default key to sign with. If this option is not used,
    the default key is the first key found in the secret keyring. Note 
    that -u or --local-user overrides this option. 

是否可以指定要在 maven-gpg-plugin 配置中使用的密钥？似乎“keyname”不起作用（我假设它选择了钥匙圈，而不是特定的钥匙）。

如果您不想让 GnuPG 自动决定使用哪个键，请<keyname>[keyname]</keyname>选择要使用的键。我希望这是作为local-key选项传递的，因此它应该支持短密钥和长密钥 ID、指纹和用户 ID。GnuPG 手册包含一系列指定键的方法。

大多数描述如何在此处指定密钥的手册使用短密钥 ID，我强烈建议不要这样做，因为碰撞攻击，而是使用整个指纹。

还有更多选项可以更改键的选择。有关各个选项的更多详细信息，请参阅Maven GnuPG 插件手册：

• 使用选择专用钥匙圈 secretKeyring
• 使用选择专用的 GnuPG 主目录 homedir
• 将local-user选项传递给 GnuPG 使用gpgArguments