Я пытаюсь использовать maven-gpg-plugin: sign для подписания артефактов проекта перед развертыванием в репозиторий Sonatype OSS.Вопрос в том, где мне хранить свой секретный ключ secring.gpg:
secring.gpg
~/.gnupg
src/test/resources/gpg/secring.gpg
А почему?
Если ключ чувствителен, поместите его в каталог ~ / .gnupg на CI-сервере и защитите этот каталог соответствующими модификаторами доступа.Второй подход позволит каждому разработчику, имеющему доступ к проекту, увидеть ключ.