sops

对结构化配置文件做字段级加密

补充说明

sops 可以只加密 YAML/JSON/ENV 中的值，保留结构便于 diff。支持 age、PGP、云 KMS 等密钥后端，常配合 GitOps。

常用示例

sops -e -i secrets.yaml
sops -d secrets.yaml
sops -e --age age1... -o secrets.enc.yaml secrets.yaml
sops exec-env secrets.yaml 'env | grep APP_'

易错点与排错

• 密钥后端/收件人配置错误会导致无法解密；先确认 .sops.yaml 和密钥。
• 只加密值，键名/结构仍以明文出现；不要用键名泄露敏感信息。
• -i 原地修改；改前备份或用 -o 输出。
• Git diff 会显示密文变化；需要可读 diff 时用 sops diff/插件。
• 收件人轮换后要重新加密；旧密文仍用旧密钥。
• 不要把私钥/云凭据提交到仓库；用 KMS/CI 凭据。