Docker Compose 常用 .env 文件保存数据库密码、API密钥等敏感信息。但该文件默认未加密，一旦被提交到Git仓库或泄露到不可信环境，账号凭据将直接暴露。因此，对敏感环境变量进行加密存放是必要的安全措施。
Docker Swarm 提供 Secrets 机制，但单机版 Compose 并不原生支持加密存储，仍需额外工具管理 secret 文件。
SOPS 是开源的加密工具，支持 YAML/JSON/ENV 格式，可以针对键值加密。配合 age 或 PGP，可在 CI/CD 中方便解密。推荐用于 Compose 项目的环境变量管理。
sops --encrypt .env 生成加密文件，如 .env.enc。.sops.yaml 指定加密规则，确保每个键值都被加密。docker compose --env-file 中加载。通过以上方式，可以显著降低凭据泄露风险，同时保持 Docker Compose 的工作流程不变。
企业微信
微信公众号
