MySQL 8.0 不支持一键启用全库TDE，必须逐表执行ALTER TABLE ... ENCRYPTION='Y'，且需满足版本、插件加载、独立表空间、密钥文件就位等全部前提；社区版可能无TDE模块，应查information_schema.INNODB_ENCRYPTION表验证支持性。
MySQL 8.0 中无法“一键启用整个数据库的 TDE”，必须逐表显式执行 ALTER TABLE ... ENCRYPTION='Y'，且所有前提条件缺一不可——版本够、插件加载成功、表空间独立、密钥文件就位，任一环节失败都会导致命令静默忽略或报错。
确认 MySQL 实例是否真支持 TDE
光看 SELECT VERSION() 返回 8.0.33 不够。社区版可能根本没编译加密模块；企业版或某些云厂商定制版才默认带。最直接验证方式是查系统表：
SELECT * FROM information_schema.INNODB_ENCRYPTION;
如果报错 Table 'information_schema.INNODB_ENCRYPTION' doesn't exist，说明当前二进制不支持 TDE，不是配置问题，是压根没这个功能。此时改配置、加插件都无效。
确保 keyring_file 插件已正确加载并初始化
这是最容易卡住的环节：插件存在但状态为 DISABLED，或启动时看似成功，实则密钥文件未被读取。关键检查点：
- 在
my.cnf的[mysqld]段中，early-plugin-load=keyring_file.so必须出现在所有其他插件配置（如plugin_load_add）之前 -
keyring_file_data=/var/lib/mysql-keyring/keyring对应路径必须由mysql用户独占拥有，且权限为600（禁止 group/other 写入） - 若此前用过
keyring_encrypted_file，旧密钥文件格式不兼容，需删掉keyring文件再重启 mysqld - 启动后执行
SELECT PLUGIN_NAME, PLUGIN_STATUS FROM information_schema.PLUGINS WHERE PLUGIN_NAME LIKE 'keyring%';，确认状态为ACTIVE
对已有 InnoDB 表启用 ENCRYPTION='Y' 的实际操作
TDE 加密对象是表空间（tablespace），不是表本身。这意味着：MyISAM、Memory 表完全不支持；共用系统表空间（ibdata1）的表也无法加密，必须先迁出。
- 先确认表使用独立表空间：
SHOW CREATE TABLE t1;查看是否有TABLESPACE = innodb_file_per_table或隐含使用（默认开启innodb_file_per_table=ON时新建表即如此） - 若表仍在系统表空间，需先执行
ALTER TABLE t1 TABLESPACE=innodb_file_per_table;（会重建表，锁表） - 再执行加密：
ALTER TABLE t1 ENCRYPTION='Y';—— 注意单引号不能省，值只能是'Y'或'N'，ON/TRUE会报错 - 验证是否生效：
SELECT NAME, ENCRYPTION_TYPE FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME LIKE '%t1%';，返回AES表示已加密
云环境（如阿里云、腾讯云）TDE 控制台开通 ≠ 表自动加密
很多用户误以为在控制台点开 TDE 开关后，所有表就自动加密了。实际上，控制台操作只是启用实例级 TDE 能力（加载插件、初始化密钥管理），存量表仍需手动 DDL；新增表是否自动加密，取决于是否启用「全局加密」策略（部分云厂商提供该开关）。
特别注意：一旦开启 TDE，就不可关闭；备份恢复也有约束——已加密实例不支持将备份中的库表单独恢复回本实例，否则可能因密钥缺失导致数据不可读。这些限制不是配置能绕过的，是设计使然。
