Проект с открытым исходным кодом - важно ли подписывать банки? - PullRequest
2 голосов
/ 13 августа 2010

Я открыл несколько своих проектов и опубликовал артефакты на sonatype.org.Важно ли подписывать ваши артефакты, JBoss и другие издатели с открытым исходным кодом подписывают свой код?

Ответы [ 2 ]

1 голос
/ 13 августа 2010

Это важно и фактически требуется для синхронизации вашего артефакта с надежным хранилищем, таким как Maven Central.Из Как генерировать подписи PGP с помощью Maven :

Если вы разрабатываете программное обеспечение с использованием Maven, вы должны сгенерировать подпись PGP для своих выпусков. Выпуск программного обеспечения с действительными подписями означает, что ваши клиенты могут проверить, что программный артефакт был сгенерирован первоначальным автором и что он не был изменен никем при передаче .Большинство крупных кузниц OSS, таких как Apache Software Foundation, требуют, чтобы все проекты выпускались менеджером релизов, ключ которого был подписан другими членами организации, и , если вы хотите синхронизировать свои программные артефакты с Maven central, вам необходимопредоставить подписи pgp .

Неважно, делают ли это другие люди или нет со своим собственным хранилищем.

См. также

0 голосов
/ 13 августа 2010

Не нормально. Я думаю , что подписанные JAR-файлы в первую очередь полезны, когда вы хотите, чтобы клиенты загружали ваш код непосредственно в экземпляр JVM, который работает в браузере или через Web Start; когда вы просите пользователя доверить вашему апплету или приложению некоторые дополнительные системные разрешения, важно, чтобы у вас было доказательство того, что вы являетесь тем, кем себя называете.

Существует ряд других вариантов использования, в которых вы захотите подписать, хотя, как правило, в том же духе. Компоненты Eclipse (возможно, OSGi в целом) могут быть подписаны для предоставления пользователю информации о том, кто предоставляет компонент, который пользователь хочет установить.

...