EN: Read in English
Dunia 8: Perisai: Keselamatan
Commit bertandatangan
Anda akan belajar: cara buktikan commit itu memang milik anda, dengan lencana Verified.
Teks BM belum disemak oleh penutur asli.
Masalahnya
Git percaya apa saja nama yang anda taip. Sesiapa pun boleh buat commit yang tulis “Siti”. Jadi macam mana orang nak percaya commit itu betul-betul anda punya?
Tengok
commit bertandatangan (signed commit): Commit dengan tandatangan digital anda, dibuat dengan kunci peribadi anda. (signed commit) bawa tandatangan digital anda. Hanya kunci peribadi anda boleh buat tandatangan itu. GitHub semak dengan kunci awam anda, macam padankan kunci dengan mangganya.
Tengok
Tandatangan sah? GitHub tunjuk lencana lencana Verified (Verified badge): Label yang GitHub tunjuk bila tandatangan commit itu sah. di sebelah commit itu. Bertandatangan, tapi GitHub tak dapat semak? Ia tulis Unverified. Tak bertandatangan? Tiada lencana langsung.
Cuba
Git boleh tandatangan dengan kunci SSH, macam kunci anda dari Dunia 4. Bina tetapan yang pilih SSH.
Ketik kepingan ikut turutan yang betul.
Cuba
Sekarang sediakan tandatangan di sini. Anda perlu tiga tetapan: format, kunci anda, dan “tandatangan setiap commit”.
Petunjuk
Halakanuser.signingkey kepada kunci awam anda, fail yang berakhir dengan .pub.Teka
Anda push commit bertandatangan. Tapi kunci awam anda tiada di GitHub sebagai signing key. Apa yang GitHub tunjuk?
Pilih satu jawapan.
Semak
Lencana apa yang setiap commit dapat? Susun semuanya.
Seret kad ke dalam kotak. Atau ketik kad, kemudian ketik kotak.
Anda berjaya!
Kini anda boleh tandatangan commit anda dan baca lencana Verified.
Nak tahu lebih (pilihan)
Kunci GPG pun boleh. Itu format lalai, openpgp. Tandatangan SSH perlukan Git 2.34 atau lebih baru. Hidupkan vigilant mode, dan commit anda yang tak bertandatangan akan tunjuk Unverified. git log --show-signature tunjuk tandatangan di komputer anda. Untuk SSH, Git perlukan gpg.ssh.allowedSignersFile dulu.
English
Git trusts any name you type. Anyone can make commits that say “Siti”. So how can people trust a commit is really yours?
A signed commit carries your digital signature. Only your private key can make it. GitHub checks it with your public key, like a key in its lock.
Signature checks out? GitHub shows a Verified badge next to the commit. Signed, but GitHub can’t check it? It says Unverified. Not signed? No badge at all.
Git can sign with an SSH key, like your key from World 4. Build the setting that picks SSH.
Now set up signing here. You need three settings: the format, your key, and “sign every commit”.
user.signingkey at your public key, the file that ends in .pub.You push a signed commit. But your public key is not on GitHub as a signing key. What does GitHub show?
Which badge does each commit get? Sort them.
You can now sign your commits and read the Verified badge.
Anda dah siapkan ini. Latihan lagi pun bagus!
Dokumentasi rasmi: git config (gpg.format, user.signingKey, commit.gpgSign) · About commit signature verification · Telling Git about your signing key
Anda dah belajar 25 minit. Rehat sekejap bantu otak anda.
Pecutan selesai! Fokus yang hebat. Regangkan badan seminit?