在CI环境中为Maven项目保留GPG密钥的位置？
我正在尝试使用maven-gpg-plugin：sign以便在部署到Sonatype OSS存储库之前签署项目工件。 问题是我应该在哪里保密我的密钥secring.gpg ：
- 在持续集成
~/.gnupg目录中 - 在项目源代码中，例如
src/test/resources/gpg/secring.gpg
为什么？
如果密钥是敏感的，则将其放在CI服务器上的〜/ .gnupg目录中，并使用适当的访问修饰符保护该目录。 第二种方法将允许每个有权访问项目的开发人员查看密钥。