Gitea项目中使用SSH密钥进行提交签名的技术实践

背景介绍

在代码托管平台Gitea中，提交签名是保证代码完整性和来源可信的重要机制。传统上，Gitea使用GPG密钥对系统生成的提交（如合并提交、CRUD操作、仓库初始化等）进行签名。然而，GPG密钥的配置过程复杂且容易出错，给用户带来了不少困扰。

随着Git 2.34+版本开始支持SSH密钥进行提交签名，这为简化签名流程提供了新的可能性。本文将详细介绍如何在Gitea中配置使用SSH密钥进行提交签名，以及当前实现中存在的一些限制和注意事项。

技术实现方案

基本配置步骤

1. 生成SSH密钥对： 在Gitea容器的/data/gitea/home/.ssh目录下生成SSH密钥对，并确保权限设置正确。

2. 配置Git全局设置： 修改/data/gitea/home/.gitconfig文件，添加以下配置：

   [user]
       signingKey = /data/gitea/home/.ssh/id_ed25519.pub
   [commit]
       gpgsign = true
   [gpg]
       format = ssh
   

3. 修改Gitea应用配置： 在app.ini中添加或修改以下配置项：

   [repository.signing]
   SIGNING_KEY=default
   SIGNING_NAME=Gitea
   SIGNING_EMAIL=[e-mail]
   WIKI=always
   CRUD_ACTIONS=always
   MERGES=always
   DEFAULT_TRUST_MODEL=committer
   

关键配置说明

• SIGNING_KEY=default：指示Gitea使用Git配置中的默认签名密钥
• DEFAULT_TRUST_MODEL=committer：设置信任模型为提交者模式
• gpgsign = true：启用Git提交签名
• format = ssh：指定使用SSH格式进行签名

当前实现限制

虽然上述方案可以实现SSH密钥签名，但仍存在一些限制：

1. 签名验证问题： Gitea目前仅能验证满足以下条件的SSH签名：

   • 提交者邮箱必须与实例中的用户邮箱匹配
   • 该用户必须明确添加了SSH公钥
   • 公钥必须通过设置中的验证按钮完成验证

2. 用户关联性： 当前实现与特定用户强关联，对于多用户场景不够灵活。理想情况下，应该支持集中管理的可信密钥列表。

3. 界面显示问题： 即使提交已正确签名，Gitea界面可能不会显示绿色的验证锁图标。

改进建议

1. 集中式密钥管理： 建议Gitea支持allowed_signers文件配置，允许管理员集中管理可信签名密钥。

2. 专用签名账户： 可以创建一个专用系统账户（如"Gitea"）来管理签名密钥，避免与普通用户账户混淆。

3. 配置简化： 提供更直观的SSH签名配置界面，减少手动编辑配置文件的必要性。

实践建议

对于生产环境部署，建议：

1. 使用专用账户管理签名密钥
2. 定期轮换签名密钥
3. 确保签名密钥的安全存储
4. 监控签名验证状态，及时发现异常

总结

Gitea支持使用SSH密钥进行提交签名是一个有潜力的特性，可以简化传统GPG签名的复杂配置流程。虽然当前实现还存在一些限制，但通过合理的配置和变通方案已经可以在生产环境中使用。期待未来版本能提供更完善、更灵活的SSH签名支持，进一步降低用户的使用门槛。

对于系统管理员而言，理解这些技术细节有助于更好地规划和管理代码签名策略，在便利性和安全性之间取得平衡。