如何在CI環境中爲Maven項目保留一個GPG密鑰？

Question

我正在嘗試使用maven-gpg-plugin:sign以在部署到Sonatype OSS存儲庫之前簽署項目工件。現在的問題是我在哪裏要守我的祕密密鑰secring.gpg：

1. 在持續集成~/.gnupg目錄
2. 在項目源代碼，例如src/test/resources/gpg/secring.gpg

爲什麼？

Answer 1

如果密鑰很敏感，請將其放置在CI服務器上的〜/ .gnupg目錄中，並使用適當的訪問修飾符保護該目錄。 第二種方法將允許每個有權訪問項目的開發人員查看密鑰。