GitHub 仓库网页端如何查看提交签名：Verified 标记与提交详情核对

代码审查时，光看到提交作者和提交说明还不够：如果团队要求确认提交确实由签名密钥验证过，就要在 GitHub 网页端找清楚 Verified 标记。这个检查不需要下载仓库，也不需要先在本地执行 Git 命令，打开公开仓库的提交记录即可完成第一轮判断。

第1步：先打开 GitHub 的提交记录入口

以公开仓库为例，先打开仓库主页，再在文件列表上方点击 commits 链接。页面会进入 /commits/ 路径，并按日期列出当前分支的提交。不要把仓库首页最近一次提交旁边的短哈希当成完整核验结果，签名状态通常要在提交列表或详情页确认。

可见成功状态：页面标题或主区域出现 Commits，同时能看到分支选择器和按日期分组的提交列表。若分支选错，后面查到的提交可能不属于要审查的代码线，先确认下拉框显示的是目标分支。

第2步：在提交列表中找 Verified 标记

在提交列表中先看目标提交右侧的状态。GitHub 官方界面会把签名状态放在提交行附近，绿色 Verified 是最直观的结果。截图中的提交短哈希是 2f410e1，状态和提交说明在同一行，适合先做快速筛选。

可见成功状态：提交说明、提交者、短哈希和绿色 Verified 同时出现。这里不要只看用户名或头像；用户名只能说明页面展示的提交者，不能替代签名验证状态。

第3步：打开提交详情做第二次核对

点击提交短哈希，或点击提交说明进入详情页。先看页面顶部的提交说明和短哈希，再对照变更文件数量和提交者；如果网页地址中的完整哈希与列表链接对应，说明你核对的是同一个提交。公开仓库的提交详情通常不需要登录即可查看。

GitHub 官方文档把 Verified 定义为“提交已签名且签名成功验证”。签名类型可能是 GPG、SSH 或 S/MIME，网页端只负责展示验证结果，不会把密钥私密材料暴露出来。若需要审计证据，保存提交详情 URL、完整哈希和核对时间，比只截取用户名更可靠。

可见成功状态：详情页中的提交标识与列表短哈希一致，页面仍显示 Verified 或对应的验证状态；如果只看到普通提交信息而没有验证标记，就不要把它写成“已签名通过”。

第4步：没有 Verified 时怎么判断

最常见的误判是把提交作者的“已认证邮箱”当成提交签名。邮箱认证解决的是作者身份展示问题，签名验证解决的是提交内容是否由对应密钥签署，两者不是一回事。

常见问题

Verified 是否表示提交内容一定没有问题？

不是。它只说明签名验证通过，不能证明代码没有缺陷，也不能替代代码审查、测试和分支保护规则。

为什么有些提交看不到任何状态？

通常表示页面没有可展示的已验证签名状态，可能是提交未签名，也可能需要进一步查看提交详情；不要仅凭作者头像下结论。

网页端提交会自动显示 Verified 吗？

GitHub 官方文档说明，使用网页界面创建的提交会由 GitHub 自动签名，因此通常会显示已验证状态；具体仍以提交页面实际状态为准。

核对时短哈希够不够？

短哈希适合定位页面，审计记录建议同时保存完整提交哈希和详情 URL，避免不同提交在短哈希截断后产生混淆。

把一次核对做完整

实际操作可以固定成四个动作：确认仓库和分支，进入 Commits，检查目标行的 Verified，最后打开详情对照完整哈希。任何一步对不上，都先停在“待核对”，不要把普通提交写进已验证清单。