密钥管理 on PlumePHP

NixOS 密钥管理实战：sops-nix、agenix 与声明式秘钥分发

Mon, 28 Sep 2026 10:00:00 +0800

引言

把数据库密码、API Key 写进 configuration.nix 是最大的安全隐患——配置会进 git、会分享、会在 history 里裸奔。NixOS 生态给出声明式密钥管理：密钥加密存储、部署时解密到内存/临时文件、可多主机分发、可轮换。本文以 sops-nix（现代主流）为主线，对比 agenix，讲清从加密到注入服务的完整链路。

钱包与 HD 分层确定性钱包：助记词、派生路径与签名流程

Mon, 28 Sep 2026 10:00:00 +0800

导语：钱包不是"存钱的袋子"，而是一个密钥保险库

很多人以为钱包"装着"加密资产。实际上链上资产只存在于账本——钱包真正管理的是私钥。谁掌握私钥，谁就能支配地址上的资产。

密钥管理与供应链安全：从 Vault 到 SBOM 的零信任实践

Sun, 27 Sep 2026 10:00:00 +0800

密钥是云原生世界里最容易"随手硬编码、泄露了才想起来"的东西——DB 密码、API Key、TLS 私钥，任何一个泄露都可能让整个系统裸奔。而供应链安全进一步放大风险：你依赖的镜像、依赖库、二进制签名，任何一环被污染，密钥管理得再好也无济于事。本指南把"密钥怎么管"与"东西怎么验"连成一条完整的零信任链路：密钥注入（环境变量/Vault/CSI/KMS 对比）、Vault 架构与动态密钥、密钥生命周期、GitOps 中的 SOPS 同步，再到 SBOM、cosign 签名与镜像扫描的供应链防线。

容器配置管理与密钥管理：env/secret/config 全体系

Sat, 26 Sep 2026 12:00:00 +0800

容器配置与密钥管理全栈：env 的适用边界、Swarm Secrets/configs 注入、compose secrets、Vault 与云厂商 Secret Manager 集成、密钥轮换与审计实践。