SOPS 加密配置与密钥生命周期

沿着问题，继续读。

秘密配置以密文进入版本控制，解密身份留在受控环境。先理解数据密钥与 recipient 封装，再分开 CLI 加密规则、sops-nix 的运行时部署和 templates 占位符渲染，最后通过双接收者过渡完成迁移与恢复验证。