数据库加密有哪些方法

数据库加密是保障数据存储和访问安全的重要手段，通常可以根据加密位置、加密粒度、密钥管理方式等不同维度进行分类。下面系统地介绍数据库加密的主要方法：

一、按加密位置（架构层级）分类

1. 应用层加密（Application-Level Encryption）

• 原理：在应用程序中对敏感数据加密后再写入数据库，读取时由应用解密。
• 优点：
  • 数据库自身看不到明文，安全性高
  • 不依赖数据库引擎能力
• 缺点：
  • 开发复杂，性能开销大
  • 不利于数据库的查询、索引和统计
• 适用场景：极高安全需求（如密码、身份证号）

2. 数据库层加密（Database-Level Encryption）

由数据库系统自身提供加密能力：

• 透明数据加密（TDE，Transparent Data Encryption）
  • 对数据文件、日志文件整体加密
  • 对应用透明，无需改代码
  • 例如：Oracle TDE、SQL Server TDE、MySQL InnoDB 加密
• 列级加密（Column-Level Encryption）
  • 只对特定字段加密
  • 支持函数加密（如 AES_ENCRYPT）
• 优点：易用、对业务影响小
• 缺点：DBA 仍可能看到明文（内存中）

3. 文件系统 / 磁盘层加密（Storage Encryption）

• 对数据库所在磁盘或文件系统加密（如 LUKS、BitLocker）
• 防止物理磁盘丢失泄露
• 对数据库完全透明
• 局限：数据库运行后数据在内存中为明文

4. 中间件 / 代理层加密

• 通过数据库代理或网关进行加解密
• 对应用和数据库均透明
• 常用于合规改造

二、按加密粒度分类

三、按密钥与算法方式分类

1. 对称加密（常用）

• AES、SM4（国密）
• 性能好，适合大数据量
• 密钥管理是关键

2. 非对称加密

• RSA、SM2
• 常用于密钥交换或签名
• 不直接加密大字段

3. 哈希（不可逆加密）

• MD5、SHA、bcrypt、SM3
• 用于密码存储
• 不可解密，只能校验

四、进阶加密技术

1. 同态加密（Homomorphic Encryption）

• 可在密文上直接计算
• 性能低，研究阶段为主

2. 可搜索加密（Searchable Encryption）

• 加密后仍能模糊查询
• 常用于云数据库

3. 动态数据脱敏 + 加密

• 查询时按权限脱敏或解密

五、典型实践建议

• 密码：哈希 + 盐（bcrypt / Argon2）
• 敏感信息：列级 AES / SM4
• 整体合规：TDE + 磁盘加密
• 高安全系统：应用层加密 + KMS 密钥管理

如果你有具体数据库（如 MySQL / Oracle / PostgreSQL）或使用场景（合规、云上、多租户），我可以给出更针对性的加密方案。