在CI环境中为Maven项目保留GPG密钥的位置？

Question

我正在尝试使用maven-gpg-plugin:sign在部署到Sonatype OSS存储库之前签署项目工件。问题是我应该在哪里保留我的密钥secring.gpg：

1. 在持续集成~/.gnupg目录
中
2. 在项目源代码中，例如src/test/resources/gpg/secring.gpg

为什么？

Answer 1

如果密钥是敏感的，请将其放在CI服务器上的〜/ .gnupg目录中，并使用适当的访问修饰符保护该目录。 第二种方法将允许每个可以访问项目的开发人员查看密钥。