バージョン管理 - git-scm で提供されている gpg 公開キー配布方法では、コンテンツの偽造を防ぐことができないようです。

Question

https://git-scm.com/book/zh/v2/分布式-Git-维护项目#为发布打标签

メンテナの実行:

リーリー

これは実際に完了し、公開鍵が配布されます。受信者は次のことを行うだけです

リーリー

公開キーをインポートして検証できます。

問題は、コンテンツが偽造され、公開鍵とコンテンツがすべて偽造者によって生成された場合でも、検証は合格するということです。これを防ぐには、公開キーのフィンガープリントをサイトに公開するしかありません。この場合、公開キーをサイトに直接公開したほうがよいのではないでしょうか。何も検証しても意味がない！