身份认证数据流加密保护的核心是构建可信、受控、可审计的加密通道，而非简单加一层密：一、强制TLS/mTLS加密传输通道；二、在系统加固模块中启用强密码策略与多因素认证；三、剥离明文凭证，改用令牌或代理机制；四、敏感字段落地前实施确定性加密并由KMS托管密钥。
直接对身份认证数据流做加密保护，核心不是“加一层密”，而是让认证过程本身运行在可信、受控、可审计的加密通道里。系统加固模块（如Windows本地安全策略、Linux PAM模块、或专用认证中间件）不直接加密“用户名密码”这类明文，而是通过配置底层协议、启用强认证机制、约束传输路径来实现端到端防护。
一、确保认证通道本身加密（TLS/mTLS）
身份认证数据流一旦走明文协议（如HTTP、LDAP未加密、RADIUS未启用TLS），再强的系统加固也无济于事。必须先锁定传输层：
- 所有Web登录页强制使用HTTPS，禁用HTTP重定向；证书需由可信CA签发，禁用自签名（除非内部PKI已统一部署）
- 远程数据库连接（如Oracle、SQL Server）启用SSL/TLS加密，配置服务器端强制加密，客户端连接字符串中明确指定
encrypt=true或sslmode=require - 服务间调用（如Clawdbot网关与后端模型服务）启用mTLS双向认证：双方互验证书，拒绝无证书或证书不匹配的连接
二、在系统加固模块中启用强认证策略
加固模块（如Windows组策略、Linux /etc/pam.d/配置、Oracle Database Vault）应聚焦于“不让弱认证通过”，而非事后加密：
- Windows：通过
gpedit.msc→ 【账户策略】→【密码策略】启用“密码必须符合复杂性要求”、“最短密码长度≥12”、“密码最长使用期限≤90天” - Linux：编辑
/etc/pam.d/common-password，加入pam_pwquality.so retry=3 minlen=12 difok=4等参数，强制密码强度 - Oracle：启用
SEC_CASE_SENSITIVE_LOGON=TRUE，并配置password_verify_function自定义校验逻辑，拒绝常见弱口令
三、剥离明文凭证，用令牌或代理替代
真正的加密保护，是让“身份认证数据流”本身不出现原始凭证。系统加固模块应推动凭证抽象化：
- 禁用静态密码直连数据库：Java应用改用连接池（如HikariCP）配合Vault或CKEY DAS动态获取临时凭据，MyBatis-Plus插入身份证号前，先调用加密服务API完成字段级AES加密，而非在SQL中拼接明文
- 启用OAuth 2.0或OIDC：将用户登录委托给权威认证服务（如Keycloak、Authing），系统加固模块只验证JWT签名和scope，不接触密码
- 对高敏操作（如数据库管理员登录）强制二次认证：集成CKEY DAS或类似双因素系统，认证流变为“用户名+静态密码+动态令牌”，且动态令牌传输全程走TLS
四、敏感字段落地加密，与认证流解耦处理
身份认证数据流中的敏感字段（如身份证号、手机号），不应依赖传输加密“保命”，而应在写入前就加密：
- 采用确定性加密（如AES-SIV）对身份证号加密，保证相同值加密后一致，便于数据库索引查询
- 密钥交由KMS托管（如阿里云KMS、AWS KMS），应用仅请求加密/解密权限，不接触原始密钥
- MyBatis-Plus可通过自定义
TypeHandler实现自动加解密：读写时透明调用KMS接口，业务代码无感知
