如何选择数据库加密方案

选择数据库加密方案时，需要结合合规要求、数据敏感度、性能成本、运维复杂度以及现有系统架构综合判断。下面从“思路 → 常见方案 → 选型对比 → 落地建议”四个层面说明。

一、先明确几个关键问题（选型前提）

在选方案前，先回答：

1. 加密目标是什么？
   • 防外部攻击（磁盘被盗）
   • 防内部运维人员泄密
   • 满足合规（等保、GDPR、PCI-DSS）
2. 加密范围？
   • 整库 / 表空间
   • 敏感字段（手机号、身份证）
3. 谁不能看到明文？
   • DBA？
   • 应用服务器？
4. 性能是否敏感？
   • 高并发写入 / 复杂查询？

二、常见数据库加密方案

1. 透明数据加密（TDE）

层级：存储层（文件 / 表空间）

• 典型实现：
  • MySQL InnoDB TDE
  • Oracle TDE
  • SQL Server TDE
• 特点：
  • 对应用完全透明
  • 防磁盘 / 备份文件泄露
  • DBA 仍可见明文

✅ 适合：合规刚需、低改造成本的入门方案
❌ 不适合：防内部人员

2. 字段级加密（应用层加密）

层级：应用层

• 做法：
  • 应用先加密再写入
  • 数据库只存密文
• 算法：
  • AES-GCM / SM4
• 密钥管理：
  • KMS / 自研密钥服务

✅ 适合：高敏感字段（密码、证件）
❌ 缺点：

• 无法 LIKE / 范围查询
• 应用改造大

3. 数据库内置字段加密函数

层级：数据库层

• 示例：
  • MySQL AES_ENCRYPT
  • PostgreSQL pgcrypto
• 特点：
  • SQL 中加解密
  • DBA 仍可见明文（若有权限）

⚠️ 一般不推荐用于强安全场景

4. 密文检索 / 可搜索加密

层级：应用 + 索引设计

• 方案：
  • 哈希索引（精确匹配）
  • 保序加密（范围查询）
  • 同态加密（实验性）

✅ 适合：既要加密又要查询
❌ 性能 & 安全性权衡明显

5. 代理层 / 中间件加密

层级：数据库前代理

• 如：
  • 数据库防火墙
  • 自研 Proxy
• 对应用透明，集中管控

✅ 适合：多系统统一加密治理

三、方案对比速查表

四、落地建议（实战路线）

✅ 通用推荐组合

• 基础合规：TDE + 备份加密
• 核心敏感字段：应用层 AES/SM4 + KMS
• 密码类：只存加盐哈希（bcrypt / Argon2）

✅ 选型决策树

1. 是否怕磁盘丢？ → TDE
2. 是否怕 DBA？ → 应用层加密
3. 是否要查询？ → 哈希 / 索引分离
4. 是否多系统？ → 代理 / 统一 KMS

如果你愿意，可以告诉我：

• 使用的数据库类型（MySQL / Oracle / PG）
• 是否等保 / 金融行业
• 加密字段类型（手机号 / 文件 / 日志）

我可以直接给你一套可落地的加密架构图 + 技术选型。