MySQL 8.0社区版仅支持component_keyring_file，明文存密钥，是启用TDE或binlog加密的最低基础；必须通过mysqld.my manifest声明加载，路径权限、配置格式、密钥目录可写性均需严格校验，否则加密操作全部失败。
MySQL 8.0 社区版不支持 keyring_encrypted_file 或 keyring_hashicorp，唯一可用的密钥环组件是 component_keyring_file；它把密钥明文存盘，不具备密钥分离能力，但它是社区版启用 TDE 或 binlog 加密的**最低可行基础**——配置错一步，后续所有加密操作都会失败。
确认 MySQL 版本与组件支持范围
社区版只加载 component_keyring_file，企业版才支持加密密钥文件或 Vault 集成。别在社区版里尝试配置 keyring_encrypted_file_data 或 keyring_hashicorp，这些变量根本不存在，mysqld 启动会直接报错 unknown variable。
- 检查版本：
SELECT VERSION();—— 必须 ≥ 8.0.16（component机制从该版本起替代旧插件） - 确认组件目录：
SHOW VARIABLES LIKE 'plugin_dir';，路径下必须存在component_keyring_file.so - 运行
SELECT * FROM INFORMATION_SCHEMA.PLUGINS WHERE PLUGIN_NAME = 'component_keyring_file';，状态应为ACTIVE，不是DISABLED或空结果
正确安装 component_keyring_file 组件
不能靠 INSTALL COMPONENT 动态加载，必须通过 manifest 文件在 mysqld 启动前声明。漏掉 manifest 或权限不对，组件压根不会初始化，哪怕配置了路径也无效。
- manifest 文件名必须是
mysqld.my，位置必须在mysqld可执行文件所在目录（不是/etc/my.cnf所在目录） - 内容严格为 JSON 格式：
{"components": "file://component_keyring_file"}，多一个空格或换行都导致加载失败 - 文件权限必须为
644且属主为root，MySQL 进程用户（如mysql）只能有读权限，否则启动时报Failed to open manifest file - 配置文件
component_keyring_file.cnf必须放在plugin_dir下，内容仅含{"path": "/var/lib/mysql-keyring/keyring"}，路径需由mysql用户可读写
启用加密前必须验证密钥环可写且已持久化
component_keyring_file 不会在首次配置后自动创建密钥文件，也不在重启时清空已有密钥——但若路径不可写、磁盘满、SELinux 拦截或路径挂载在 tmpfs/NFS 上，密钥写入会静默失败，后续 ALTER TABLE ... ENCRYPTION='Y' 报错 ERROR 3182，而非提示“密钥环不可用”。
- 手动创建密钥目录：
mkdir -p /var/lib/mysql-keyring && chown mysql:mysql /var/lib/mysql-keyring - 测试写入：
mysql -e "SELECT keyring_key_generate('test_key', 'AES', 32);"，再查SELECT keyring_key_fetch('test_key');确认能取回 - 检查密钥文件是否真实生成：
ls -l /var/lib/mysql-keyring/keyring，大小应 > 0，且修改时间接近测试时间 - 禁止将密钥路径设为
/tmp、/run或 NFS 卷——component_keyring_file不支持这些文件系统
binlog 加密与表空间加密共用同一密钥环，但行为完全不同
开启 binlog_encryption=ON 后，新生成的 binlog 文件头会被加密标记，但已有 binlog 不重写；而 ALTER TABLE ... ENCRYPTION='Y' 会重建整张表并加密 .ibd 文件，但**旧数据页不会被重写**，除非执行 OPTIMIZE TABLE。两者都依赖密钥环，但失败表现不同。
- binlog 加密失败时，
SHOW BINARY LOGS中Encrypted列仍显示No，错误日志出现Failed to initialize binlog encryption key - 表加密失败时，
INFORMATION_SCHEMA.INNODB_TABLESPACES中ENCRYPTION字段仍为N，且ALTER语句卡住或报ERROR 182（表正在使用） - 密钥环一旦损坏（如文件被
rm -f），已加密的 binlog 无法解析，已加密的表无法打开——没有“恢复密钥环”的机制，只有从备份还原整个keyring文件
最易被忽略的一点：密钥文件 /var/lib/mysql-keyring/keyring 是明文存储的二进制 blob，它本身不加密，也不校验完整性。任何能读该文件的用户都能提取出所有密钥——这意味着你必须把整个文件路径纳入操作系统级权限管控，而不是只依赖 MySQL 权限模型。
