需查询 INFORMATION_SCHEMA.INNODB_TABLESPACES 表中 ENCRYPTION 字段值为 'Y' 才确认真正启用，且须满足 innodb_encrypt_tables=ON（或 FORCE）、keyring 插件已加载并 ACTIVE、表使用独立表空间（innodb_file_per_table=ON）三个前提。
MySQL 8.0 中如何确认表空间是否启用了 ENCRYPTION
直接查 information_schema.innodb_tablespaces 表，encryption 字段值为 'y' 才算真正启用。注意：建表时写了 encryption='y' 不等于生效——必须同时满足：实例开启 innodb_encrypt_tables=on（或 force），且密钥轮转服务（keyring）已加载并可用。
常见错误现象：SHOW CREATE TABLE 显示 ENCRYPTION='Y'，但 INNODB_TABLESPACES 里仍是 'N'；或者插入数据后 mysql.ibd 文件仍可被 hexdump 读出明文字段值。
- 检查 keyring 是否就位：
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'keyring%';—— 至少一个状态是ACTIVE - 确认全局变量：
SELECT @@innodb_encrypt_tables, @@innodb_encrypt_log;—— 前者必须非OFF - 加密只对新写入的数据页生效；已有表需
ALTER TABLE ... ENCRYPTION='Y'并触发重建（如ALGORITHM=INPLACE不支持时会降级为COPY）
用 CREATE TABLE 或 ALTER TABLE 设置 ENCRYPTION 的实际效果差异
ENCRYPTION='Y' 是表级别选项，但最终是否落地，取决于表空间类型和存储引擎行为。InnoDB 表若使用独立表空间（innodb_file_per_table=ON，默认），则加密作用于该表的 .ibd 文件；若在系统表空间（ibdata1）中，则无效——系统表空间不支持粒度加密。
实操建议：
- 新建表时显式声明：
CREATE TABLE t1 (id INT) ENCRYPTION='Y';—— 仅当innodb_file_per_table=ON且 keyring 就绪才生效 - 修改现有表：
ALTER TABLE t1 ENCRYPTION='Y';—— 触发表重建，期间锁表（ALGORITHM=COPY）或仅锁 DML（INPLACE，需满足[官方限制条件](https://dev.mysql.com/doc/refman/8.0/en/innodb-tablespace-encryption.html)） - 误操作风险：设成
ENCRYPTION='N'后，原加密数据不会自动解密；只是后续写入按未加密处理，文件里混着加密页和明文页，可能引发恢复异常
可视化配置？别信图形界面的“勾选框”
MySQL 官方没有提供 GUI 工具来可视化管理表空间加密状态。所谓“勾选加密选项”，常见于 phpMyAdmin、DBeaver 或某些云控制台——它们只是拼接 SQL 发送到服务端，并不校验 keyring 状态或表空间类型。勾完就以为搞定，结果日志里静默失败。
真正可靠的验证方式只有两条命令：
SELECT NAME, ENCRYPTION FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME LIKE '%t1%';SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES WHERE CREATE_OPTIONS LIKE '%ENCRYPTION%';
后者只能告诉你语法上写了什么，前者才是事实真相。
为什么 mysqldump 备份出来没加密，而 mysqlpump 或物理备份能保留加密属性
mysqldump 导出的是 SQL 文本，还原时走的是普通 INSERT 流程，完全绕过 InnoDB 的页级加密路径；即使源表加密，dump 出来的 INSERT 语句插入的是明文数据，且新表默认不继承加密设置。
物理备份（如 mysqlbackup 或 xtrabackup）复制的是加密后的 .ibd 文件，密钥信息存在内存 keyring 中，还原时只要 keyring 可访问，加密状态自然延续。
- 若用
mysqlpump，它支持--set-gtid-purged=OFF --skip-definer等参数，但仍无法导出加密元数据——它和mysqldump一样，输出的是逻辑 SQL - 跨实例迁移加密表，不能只拷 .ibd：必须确保目标实例 keyring 插件相同、密钥 ID 一致、且
innodb_encrypt_tables开启，否则启动时报错Tablespace is encrypted but encryption plugin is not active
加密不是开关按钮，是密钥、配置、表空间类型、写入路径四者咬合的结果。少一环，看起来勾了，其实没用。
