gitsign（基于Sigstore的无密钥Git签名工具） 下载

简介

gitsign 是 Sigstore 项目下的一个 Git 签名工具，它允许开发者使用自己的 GitHub 或 OIDC 身份对 Git 提交和标签进行签名，而无需管理传统的 GPG 密钥。它通过 Sigstore 的 Fulcio 证书颁。（当前收录版本 0.18.0，适用 win/x64。）

详细介绍

gitsign 是 Sigstore 生态中的一个命令行工具，旨在为 Git 提交和标签提供无密钥（keyless）签名能力。传统的 Git 签名通常依赖 GPG 或 S/MIME 密钥，需要开发者生成、保管和分发密钥，过程繁琐且存在密钥泄露风险。gitsign 改变了这一模式，它利用 Sigstore 的无密钥签名基础设施，让开发者可以直接使用其现有的 GitHub 或任何 OIDC 身份进行签名。 在签名过程中，gitsign 会与 Sigstore 的 Fulcio 证书颁发机构交互，自动获取一个短期有效的 X.509 证书，并使用该证书对提交或标签进行签名。签名完成后，证书和签名信息会被记录到 Rekor 透明日志中，任何人都可以验证签名的真实性和来源。这种设计消除了对长期密钥的依赖，降低了密钥管理的复杂性，同时提高了供应链的安全性。 gitsign 的配置非常灵活，可以通过标准的 git-config 文件进行设置。用户可以为单个仓库或全局配置 gitsign 作为 GPG 的替代程序，并选择是否自动对所有提交和标签进行签名。它还支持通过系统密钥环或可选的 gitsign-credential-cache 守护进程来缓存签名凭证，以减少重复认证的麻烦。 该项目由 Sigstore 社区维护，使用 Go 语言开发，目前支持 Windows（x64）和 Linux 平台。它适合希望采用现代无密钥签名方式、增强代码安全性的个人开发者、开源项目维护者以及企业开发团队。

适合人群

• 希望简化 Git 签名流程的开发者
• 关注代码供应链安全的开源项目维护者
• 需要合规签名的企业开发团队
• 使用 GitHub 或 OIDC 身份登录的开发者
• 希望避免管理 GPG 密钥的 Git 用户

安装教程

gitsign 的安装与使用主要面向开发者，支持 Windows 和 Linux 平台。

**Windows 安装**：
1. 从知办库下载 gitsign-portable-win-x64.zip 压缩包。
2. 解压到任意目录，例如 C:\gitsign。
3. 将解压目录添加到系统 PATH 环境变量，以便在命令行中直接使用 gitsign 命令。
4. 打开命令提示符或 PowerShell，输入 `gitsign --version` 验证安装是否成功。

**Linux 安装**：
1. 可以使用 Homebrew 安装：`brew install gitsign`，或使用 Go 安装：`go install github.com/sigstore/gitsign@latest`。
2. 确保 Go 环境已配置，安装后 gitsign 会出现在 GOPATH/bin 目录。

**配置与使用**：
1. 在 Git 仓库中启用 gitsign：
```
git config --local gpg.x509.program gitsign
git config --local gpg.format x509
git config --local commit.gpgsign true
git config --local tag.gpgsign true
```
如需全局生效，将 `--local` 替换为 `--global`。
2. 首次签名时，gitsign 会引导你通过 OIDC 进行身份验证（如 GitHub 登录）。
3. 签名提交：`git commit -S -m "message"`，签名标签：`git tag -s v1.0.0`。

**注意事项**：
- 使用 gitsign 签名需要网络连接，因为需要访问 Sigstore 服务。
- 如果不想自动签名，可以省略 `commit.gpgsign` 和 `tag.gpgsign` 配置，手动添加 `-S` 参数。
- 可选配置凭证缓存，通过 `gitsign.credentialCacheMode` 和 `gitsign.credentialCache` 设置。

支持平台：Windows、Linux

版本与文件信息

• 版本：0.18.0
• 平台：win x64
• 文件名：gitsign-portable-win-x64.zip
• 文件大小：23.1 MB
• SHA256：18cb815f41ee45e70eb01523be0007c0093df30c74c88fdec266e6bb9993fb2a

下载地址

• 开源地址：https://github.com/sigstore/gitsign
• baidu网盘：https://pan.baidu.com/s/159LNedwcEYwFlDpwqK8BuQ（提取码：ewg5）

常见问题

• gitsign（基于Sigstore的无密钥Git签名工具） 下载后无法安装怎么办？
  请确认系统满足 win 平台要求，并以管理员身份运行安装包；若提示缺少运行库，请先安装对应系统组件。
• 如何确认下载的文件是官方原版？
  通过页面上提供的 SHA256 校验值与官方公布值比对；一致即为官方原版，不一致请勿使用。
• gitsign（基于Sigstore的无密钥Git签名工具） 有绿色版或便携版吗？
  是否提供便携版以官方发布页为准；本站仅收录官方公开下载与网盘镜像，不提供破解或修改版本。

核心功能

• 下载前展示真实文件名「gitsign-portable-win-x64.zip」、版本 0.18.0、文件大小 24210567，以及适用平台 win/x64，便于逐项核对后再获取。
• 本站提供已校验的下载通道（baidu 网盘，提取码随页面展示），并保留官方站点入口作为备用来源。
• 能力覆盖：软件、Windows、开源，可按需选取对应功能模块。

使用场景

• 需要在本机部署或重装 gitsign（基于Sigstore的无密钥Git签名工具）（0.18.0），并希望先核对版本与文件信息再获取的场景。
• 处理「gitsign（基于Sigstore的无密钥Git签名工具）下载」相关需求、希望一次性拿到可核对文件与步骤时。
• 需要在多台设备使用同一 gitsign（基于Sigstore的无密钥Git签名工具） 版本（0.18.0），便于统一环境与后续排查时。

注意事项

• 获取文件后请核对文件名「gitsign-portable-win-x64.zip」与文件大小「24210567」是否与本页一致，避免拿到错误版本。
• 部署 gitsign（基于Sigstore的无密钥Git签名工具） 时路径建议避免中文与空格，可减少部分写入失败的概率。
• 若安全软件出现拦截提示，请先确认来源为本页收录渠道后再决定是否放行。

安装与校验

• 获取前先核对文件名、文件大小与版本号（本页：gitsign-portable-win-x64.zip / 24210567 / 0.18.0），逐项比对后再继续。
• 通过本页「baidu 网盘」通道转存到自己的网盘后再取回文件，可避免直接下载中断造成的文件不完整。
• 解压后先确认 gitsign（基于Sigstore的无密钥Git签名工具） 主程序能否正常启动，再决定是否替换原有版本。
• 如遇安全软件拦截，请先确认来源为本页收录渠道，再决定是否放行。

国内网盘获取步骤

• 第 1 步：在本页下载区打开「baidu」通道，先核对页面标注的版本号 0.18.0、平台 win/x64，再进入分享页。
• 第 2 步：输入本页展示的提取码完成校验（提取码以本页下载区为准，不要从第三方来源获取）。
• 第 3 步：把文件转存到自己的「baidu」账号后再下载，避免分享链接失效或下载中断；若为压缩包，建议解压到 C:\\Tools 这类不含中文与空格的路径。
• 第 4 步：下载完成后核对文件名「gitsign-portable-win-x64.zip」、文件大小「24210567」与版本号 0.18.0，与本页信息一致再安装或运行。