ERROR 3182 是因 keyring 插件未在启动时加载所致，必须通过 my.cnf 中 [mysqld] 段首行配置 early-plugin-load=keyring_file.so（Linux）或 .dll（Windows），重启后验证 PLUGIN_STATUS 为 ACTIVE；INSTALL PLUGIN 不持久，自动创建密钥不可控，须手动预置严格 JSON 格式主密钥并设权限 600。
为什么刚配完 early-plugin-load 还是报 ERROR 3182？
这不是配置漏了，而是插件根本没加载成功——INSTALL PLUGIN 命令只在当前会话生效，重启后失效。MySQL 启动时必须通过 early-plugin-load 强制加载，否则所有 ENCRYPTION='Y' 操作都会静默失败，报错 ERROR 3182 (HY000): Cannot encrypt a table when the keyring plugin is not installed。
实操要点：
-
early-plugin-load=keyring_file.so（Linux）或early-plugin-load=keyring_file.dll（Windows）必须写在my.cnf的[mysqld]段最开头，不能被注释、不能拼错、不能放错段落 - 用
SELECT @@plugin_dir;确认插件路径，再核对文件是否存在（如/usr/lib/mysql/plugin/keyring_file.so） - 重启后立刻查：
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'keyring_file';，状态必须是ACTIVE - 如果插件状态为
DISABLED或查不到，直接看错误日志：grep -i keyring /var/log/mysql/error.log，常见原因是路径权限不对或secure_file_priv拦截了写入
主密钥为什么不能等 MySQL 自动创建？
MySQL 启动时若发现 keyring_file_data 文件不存在，会自动生成一个随机主密钥，但这个密钥不可控、不可备份、不可迁移。一旦文件损坏或误删，所有加密表查询返回空或乱码，SHOW CREATE TABLE 却仍显示 ENCRYPTION='Y'，极难定位。
正确做法是手动预置：
- 用
openssl rand -hex 32生成 64 字符 hex 字符串（对应 AES-256） - 将密钥写入
keyring_file_data指向的文件，格式必须是严格 JSON（注意双引号、换行、字段名）：
{
"key": "a1b2c3d4e5f678901234567890abcdef1234567890abcdef1234567890abcdef",
"id": "master-key-1",
"type": "AES"
}
-
id必须唯一，后续轮换密钥时不能重复 - 文件权限必须设为
600，属主必须是运行mysqld的用户（如mysql:mysql） - 严禁用编辑器打开修改该文件——JSON 格式稍有空格或换行，MySQL 启动即报
Keyring file is corrupted
建了 ENCRYPTION='Y' 表却没加密，怎么回事？
常见现象：建表语句没报错，但查 INFORMATION_SCHEMA.INNODB_TABLESPACES 发现 ENCRYPTION 字段仍是 NO。本质是加密没生效，不是语法问题。
关键前提和排查点：
-
innodb_file_per_table=ON是硬性前提，系统表空间（ibdata1）和通用表空间不支持加密 - 仅对独立表空间生效：建表时必须用
ENGINE=InnoDB，且不能是MyISAM或内存表（否则报ERROR 3182: Encryption is not supported for this storage engine） - 确认表空间类型：
SELECT NAME, SPACE_TYPE, ENCRYPTION FROM INFORMATION_SCHEMA.INNODB_SYS_TABLESPACES WHERE NAME LIKE 'db_name/%';，SPACE_TYPE必须是Single - 已有表加密需显式执行：
ALTER TABLE t1 ENCRYPTION='Y';（会触发全表重建，锁表 + I/O 高） - 配置
innodb_encrypt_tables=ON只影响后续新建表，不会自动给已有表加密
加密后能降级或关掉吗？
不能。已加密的表无法通过 ALTER TABLE t1 ENCRYPTION='N' 关闭加密，MySQL 不支持“解密降级”操作。
想停用加密，只能：
- 导出数据（如
mysqldump） - 删表
- 重建未加密表
- 再导入数据
这意味着加密决策不可逆，且备份时密钥文件必须与数据文件一同归档——缺一不可。物理迁移时，keyring_file_data 文件路径、权限（600）、属主、内容哈希四者必须完全一致，否则恢复后报 Tablespace is encrypted but encryption plugin is not active。
真正容易被忽略的点是：加密只保护 .ibd 文件，不加密 binlog、redo log、tmpdir 里的临时文件，也不加密客户端传输过程。这些环节得靠 SSL/TLS、secure_file_priv=OFF、独立磁盘分区等手段补足。
