能否仅用公钥更新SOPS加密YAML文件而无需提前解密？

仅持有age公钥时，无法直接向已加密的SOPS文件添加新键值对——必须先解密整个文件才能修改内容，修改完成后再重新加密。

核心原因 #

SOPS对YAML这类结构化文件的加密逻辑是基于整个文件的内容与结构实现的，并非单独加密每个键值对。要修改文件内容（包括新增键值），必须先解密得到明文，才能编辑结构和内容，之后再重新用公钥加密整个文件。

协作场景下的替代方案 #

如果希望开发者能新增密钥但无法查看已有密钥，可以试试这些实用方法：

• 拆分加密文件：让开发者用公钥加密自己的新增密钥文件（比如new-secrets.sops.yaml），提交到仓库后，Terraform的sops provider可以同时加载多个加密文件，合并使用密钥。这样开发者不需要触碰原有加密文件，也就无需解密。
• CI/CD中转合并：开发者提交明文的新增密钥到指定临时位置（比如PR备注、专门的临时文件），由拥有私钥的CI/CD流程负责将新密钥合并到主加密文件，重新加密后提交到仓库。全程开发者接触不到原有加密文件的明文。
• 限定加密范围：如果项目初期就用SOPS的--encrypt-regex参数指定只加密特定键，未匹配的键会以明文存储，但这种方式仅适合部分场景，且对已有的全加密文件不适用。

内容的提问来源于stack exchange，提问作者Tyler