在CI环境中为Maven项目保留GPG密钥的位置？

Question

我正在尝试使用maven-gpg-plugin:sign以便在部署到Sonatype OSS存储库之前签署项目工件.问题是我应该在哪里保密密码secring.gpg:

1. 在持续集成~/.gnupg目录中
2. 在项目源代码中,例如 src/test/resources/gpg/secring.gpg

为什么？

Answer 1

如果密钥敏感，请将其放在 CI 服务器上的 ~/.gnupg 目录中，并使用适当的访问修饰符保护该目录。第二种方法将允许每个有权访问项目的开发人员看到密钥。