某个 GitHub Actions 工作流需要一个 256 KB 的密钥，该密钥必须仅对工作流可访问，并且管理开销最小。您推荐哪种方法？

正确答案是加密密钥，将密文存储在仓库中，并将解密密钥保存在仓库级别的 GitHub secrets 中。GitHub secrets 对单个密钥的大小有限制，通常为 64 KB。由于工作流需要一个 256 KB 的密钥，直接存储在 GitHub secrets 中会超出限制。因此，最佳方法是加密大密钥，将加密后的密文存储在仓库中（例如作为文件），然后将用于解密的较小密钥或密码存储在仓库级别的 GitHub secrets 中。这样既能绕过大小限制，又能确保解密密钥的安全性和工作流的访问性。将解密密钥存储在仓库级别比组织级别更符合最小权限原则，因为只有该特定仓库的工作流需要访问。