TDE对ThinkPHP完全透明，无需框架配置或修改代码；它由数据库存储引擎层实现，启用需满足RDS版本、KMS授权等服务端条件，加密解密自动完成且不影响SQL语义。
TDE 对 ThinkPHP 完全无感，它不参与、不依赖、也不需要你在框架里写任何加密逻辑——只要数据库实例开了 TDE，ThinkPHP 的 Db::table('users')->select() 拿到的就是明文，INSERT 写进去的也自动变成密文落盘。
为什么 ThinkPHP 里不能“配置”TDE
TDE 是数据库存储引擎层的功能（如 MySQL 的 InnoDB 表空间级加密），不是连接层或 ORM 层可开关的选项。ThinkPHP 的数据库配置项（如 'host'、'username'、'database'）里根本不存在 tde_enabled 或 encryption_key 这类字段——它压根不走应用层加解密流程。
- 你配了
ENCRYPTION='Y'的表，ThinkPHP 查出来仍是明文；没配，查出来的也是明文；区别只在磁盘文件（.ibd）里存的是不是乱码 - ThinkPHP 的
think\db\Connection类不会拦截 SQL 执行前后做加解密，它连 IV、密钥、算法模式都接触不到 - 试图在
model的setAttr或getAttr里手动调用openssl_encrypt，和 TDE 冲突且多余：前者让 DBA 看不到明文，后者防的是磁盘窃取，目标不同、不可替代
ThinkPHP 应用要启用 TDE 的真实前置动作
不是改 database.php，而是确保数据库实例本身满足开通条件，并完成服务端授权。漏掉任意一步，ALTER TABLE users ENCRYPTION='Y' 会直接报错。
- MySQL 实例必须是阿里云 RDS 高可用版或集群版，基础版不支持；内核小版本 ≥
20191015（老实例常卡在2018xxxx） - 必须提前在 RAM 控制台为 RDS 授权 KMS 服务角色，不是控制台点“启用”就完事——要配
AliyunKMSCryptoUserAccess策略 - 开通 TDE 会触发实例重启（约 15 秒不可用），ThinkPHP 若没配连接池重试（如
'break_reconnect' => true），就会抛MySQL server has gone away - 执行
ALTER TABLE users ENCRYPTION='Y'后，表只是被标记为“待加密”，真正加密发生在后续 DML 或后台刷脏页时，不是立刻全量重写.ibd
加密后 ThinkPHP 查询行为的几个关键事实
TDE 不改变 SQL 语义、不增加字段长度、不干扰索引，但有几个边界情况必须心里有数：
立即学习“PHP免费学习笔记（深入）”；
-
LIKE '%身份证%'能正常走索引，因为匹配发生在内存解密后；但WHERE id_card = 'xxx'如果该字段没建索引，全表扫描性能不变——TDE 不提升查询效率 - 备份文件（
mysqldump或物理备份）仍是密文，但恢复到另一台未授权 KMS 的 RDS 上会失败，报错类似Failed to decrypt tablespace key - 日志文件（
redo log、binlog）是否加密取决于全局参数innodb_encrypt_log和binlog_encryption，它们和ENCRYPTION='Y'无关，需单独确认 - ThinkPHP 的
Db::raw("AES_DECRYPT(...)")这类写法无效：TDE 解密由存储引擎自动完成，SQL 层看不到密文，也无需、不能手动解密
最易被忽略的一点：TDE 开通后，innodb_encrypt_algorithm 参数就被锁死（默认 AES_256_CBC），想切 SM4？得提工单，且已有加密数据可能无法识别——别在生产环境临时起意改这个。
