Version control 团队的化石gpg工作流

我正在学习化石，并试图为两个人修改同一个源代码树重现一个工作流

因此，Alice和Bob都有一些源代码的本地存储库。两者都关闭了自动同步。Alice还进行了一些黑客攻击，并使用她的gpg密钥进行了一些签名签入。这部分很好，因为Alice我已经成功生成了gpg密钥，fossil在提交时问我密钥密码。 我也知道gpg代理，但暂时不要使用它，因为我现在正试图让事情尽可能简单

现在，在某个时刻，鲍勃从爱丽丝的化石回购协议中提取了变化。他将如何验证Alice签署的入住登记

增加：

我知道在拉取更改后，Bob能够通过使用'fossil update'手动浏览Alice的签入，并对每个更改执行'gpg--verify manifest'。我想问的是，在将来自其他人的更改与本地工作区的内容合并之前，化石是否有一种自动方式来检查“化石拉动”后的所有“外来”签入。

当前（截至2010年6月）版本的化石除了签署清单之外，没有任何gpg自动化功能。在化石用户邮件列表上讨论这一点时发现，希普博士认为这些签名是为了证明签入者的身份，而不是为了验证签入本身。在以后的审计或诉讼中，该证据可能很重要，因为在审计或诉讼中，能够证明遵循了政策或现有协议涵盖了所有代码可能很重要