答案：在应用层加密敏感数据并由独立系统管理密钥，数据库仅存储密文，可显著降低数据泄露风险。具体包括使用AES算法结合随机IV和安全模式（如GCM），通过KMS或环境变量动态获取密钥，避免硬编码；对密码等无需解密的数据采用SHA256加盐哈希；启用MySQL TDE防止文件泄露，限制权限与日志输出，全面提升安全性。
在 MySQL 中保护敏感数据是数据库安全的重要环节。直接存储明文密码、身份证号、手机号等信息存在较大风险，一旦数据库泄露后果严重。因此，对敏感数据进行加密处理非常必要。以下是几种常用且有效的实现方式。
使用 MySQL 内置加密函数
MySQL 提供了一些内置的加密函数，适合在 SQL 层进行简单加密操作。
- AES_ENCRYPT() 和 AES_DECRYPT()：基于 AES 算法（高级加密标准），支持 128/196/256 位密钥，是目前推荐使用的对称加密方法。插入数据时加密，查询时解密。
- 示例：
INSERT INTO users (name, ssn_encrypted) VALUES ('Alice', AES_ENCRYPT('123-45-6789', 'my-secret-key'));
查询时： SELECT name, AES_DECRYPT(ssn_encrypted, 'my-secret-key') FROM users; - 注意：密钥管理需谨慎，不要硬编码在 SQL 中，建议由应用层传入。
在应用层加密更安全
相比数据库内加密，更推荐在应用程序中完成加密解密，这样数据库只存储密文，即使被拖库也无法轻易解密。
- 使用语言级加密库，如 Python 的 cryptography，Java 的 javax.crypto，Node.js 的 crypto 模块。
- 流程：应用写入前加密 → 存储加密字符串（通常为 Base64）→ 读取后在内存中解密。
- 优势：密钥不经过数据库，可结合 KMS（密钥管理系统）或环境变量管理，安全性更高。
选择合适的加密模式和密钥管理
加密不只是调用函数，还需注意算法配置和密钥安全。
- 使用 AES 的 CBC 或 GCM 模式，避免 ECB（易暴露数据模式）。
- 每次加密使用随机 IV（初始化向量），防止相同明文生成相同密文。
- 密钥不应写死在代码中，可通过配置中心、环境变量或专用密钥服务（如 AWS KMS、Hashicorp Vault）动态获取。
- 定期轮换密钥，并设计好旧数据的迁移方案。
其他补充措施
加密只是数据安全的一环，还需配合其他策略。
- 对不需要解密的数据（如密码），使用单向哈希（如 SHA256 + salt）更合适，MySQL 的 SHA2() 可用于此场景。
- 启用 MySQL 的 TDE（透明数据加密），对表空间文件进行加密，防止物理文件泄露。
- 限制数据库用户权限，确保只有必要人员能访问敏感字段。
- 日志中避免记录明文或密钥，关闭通用日志或审计日志中的敏感内容输出。
基本上就这些。核心原则是：尽量在应用层加密，密钥独立管理，数据库只存密文。这样即使数据库被入侵，也能大幅降低数据泄露风险。
