验证 Hibernate 扩展工件签名

Overview

您可以验证MongoDB发布到 Maven Central 的MongoDB Extension for Hibernate ORM 工件的签名。验证项目签名可帮助您确认项目是真实的且未经修改。

步骤

这些步骤描述了如何验证 Hibernate ORM 扩展工件签名。

安装加密软件

您必须安装 GnuPG加密套件才能命令行验证工件签名。

在 macOS 上，您可以使用 Homebrew 安装 GnuPG：

brew install gnupg

提示

您还可以安装 GPG 套件，它为 GnuPG 提供了图形界面。 GPG 套件有一个 Homebrew 安装程序。

下载并导入MongoDB签名密钥

下载并导入MongoDB用于签署发布的公钥：

gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 1a75005e142192223d6a7c3b76e0008d166740a8

您还可以在适用于 Hibernate ORM 版本的MongoDB扩展扩展页面上找到特定于版本的说明。

下载已签名的工件

从 Maven Central 下载要验证的MongoDB Extension for Hibernate ORM 工件。

以下示例下载扩展的 1.0.0 版本：

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar

要验证不同版本，请将命令中的 1.0.0 替换为要验证的版本。

下载工件签名

下载同一工件和版本的分离签名文件：

curl -LO https://repo.maven.apache.org/maven2/org/mongodb/mongodb-hibernate/1.0.0/mongodb-hibernate-1.0.0.jar.asc

.asc文件必须与您下载的工件文件相对应。

验证签名

从包含工件及其签名的目录运行以下命令：

gpg --verify mongodb-hibernate-1.0.0.jar.asc mongodb-hibernate-1.0.0.jar

如果签名有效，GnuPG 会打印类似于以下内容的消息：

gpg: Signature made Wed Sep 16 19:15:35 2026 IST
gpg:                using RSA key 76E0008D166740A8
gpg: Good signature from "MongoDB Java Driver Release Signing Key <packaging@mongodb.com>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 1A75 005E 1421 9222 3D6A 7C3B 76E0 008D 1667 40A8

有效的签名确认该工件与签名的发布匹配。在信任结果之前，请查看密钥指纹和签名身份。