MySQL 8.0+原生TDE不能开箱即用，仅支持InnoDB表空间级加密，需手动加载keyring插件、配置加密策略并显式声明ENCRYPTION='Y'，且不加密日志、binlog等关键文件。
MySQL 8.0+ 原生 TDE（透明数据加密）是否真能开箱即用？
不能。MySQL 官方 TDE 仅支持 InnoDB 表空间级加密，且必须手动开启、逐表指定，不是“整个数据库一键加密”。它不加密日志文件（ib_logfile*）、binlog、临时表、查询缓存或客户端传输过程——这些仍需额外手段。
常见错误现象：ERROR 3182 (HY000): Encryption is not supported for this storage engine，说明你试图对 MyISAM 或内存表启用加密；或者建表后查 INFORMATION_SCHEMA.INNODB_TABLESPACES 发现 ENCRYPTION 字段为 N，其实是没生效。
- 必须使用 MySQL 8.0.13+，且编译时启用了
WITH_SSL（绝大多数官方二进制包已满足） - 配置项
innodb_encrypt_tables=ON只影响后续新建的表，已有表不会自动加密 - 密钥由
keyring_file或keyring_encrypted_file插件管理，插件未加载时所有加密操作都会静默失败 - 加密后的表空间无法降级到不支持 TDE 的 MySQL 版本，备份恢复也必须在同版本+同 keyring 环境下进行
如何让一张 InnoDB 表真正启用加密？
核心是三步：加载 keyring 插件 → 设置加密策略 → 显式声明加密属性。少任何一环，CREATE TABLE ... ENCRYPTION='Y' 都只是个无效语法糖。
实操建议：
- 先确认插件状态：
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME LIKE 'keyring%';，应看到keyring_file或keyring_encrypted_file为ACTIVE - 在
my.cnf中添加并重启：[mysqld] early-plugin-load=keyring_file.so keyring_file_data=/var/lib/mysql-keyring/keyring
（路径需 MySQL 进程有读写权限） - 建表时必须显式写
ENCRYPTION='Y'：CREATE TABLE t1 (id INT) ENCRYPTION='Y' ENGINE=InnoDB;；仅靠innodb_encrypt_tables=ON不会自动加这个属性 - 已有表加密需重建：
ALTER TABLE t1 ENCRYPTION='Y';（会触发全表重建，锁表时间与数据量正相关）
为什么加密后磁盘空间反而变大了？
因为 InnoDB 对每个加密页（默认 16KB）追加 16 字节 AES-GCM 认证标签（authentication tag），且加密块大小对齐导致填充增加。实测 10GB 表加密后通常膨胀 0.5%–1.2%，不是 bug，是 AEAD 加密的固有开销。
更关键的影响在性能：
- 随机读写吞吐下降约 5%–15%，取决于 CPU 加解密能力（AES-NI 指令集可大幅缓解）
-
FLUSH TABLES WITH READ LOCK和备份工具（如mysqldump）不受影响，但物理备份（cp/rsync）拿到的是加密后的文件，没 keyring 就无法恢复 - 加密表无法使用
ALTER TABLE ... ALGORITHM=INSTANT，所有 DDL 都退化为 COPY 模式 - 如果误删
keyring_file_data文件，表将永久不可访问——MySQL 不报错，但SELECT返回空或乱码，SHOW CREATE TABLE仍正常，极具迷惑性
应用层加密 vs TDE：什么时候不该用 MySQL 原生加密？
当你要加密的是字段级敏感内容（如身份证号、手机号），TDE 完全无用——它只加密整张表的物理存储，字段本身在内存和 SQL 层仍是明文。这时候必须回到应用层。
典型场景判断：
- 合规要求“落盘加密”，且接受整库/整表粒度 → 用 TDE + keyring_file
- 要满足 PCI DSS 或等保三级中“敏感字段加密存储” → 必须用
AES_ENCRYPT()/AES_DECRYPT()或应用层加解密，TDE 不算数 - 需要加密 binlog 用于跨机房复制 → TDE 无效，得用 MySQL 8.0.22+ 的
binlog_encryption=ON（单独开关，依赖相同 keyring） - 用 Percona Server 或 MariaDB？它们的 TDE 实现细节和参数名不同（如
file_key_management），别直接套用 MySQL 官方文档
最常被忽略的一点：TDE 不解决密钥轮换问题。MySQL 目前不支持在线更换主密钥，轮换 = 停服 + 导出明文 + 清空 keyring + 重新导入 + 全库重加密。生产环境做之前，先在测试库跑通整套流程。
