MySQL自身不提供dump输出流的原生加密能力，AES_ENCRYPT只能加密单个字段值，无法处理整个SQL备份文件；强行用其加密会导致备份中存储密文、原始明文不可逆丢失，违背可验证、可回退的备份原则；正确做法是通过openssl或gpg对mysqldump输出流式加密，全程不落盘明文。
AES加密备份文件必须在mysqldump之外完成，MySQL自身不提供dump输出流的原生加密能力；直接用AES_ENCRYPT函数加密表数据，对备份文件本身无效。
为什么不能在SQL里用AES_ENCRYPT加密备份结果
备份文件（如backup.sql）是纯文本结构化导出，包含CREATE TABLE、INSERT等语句。而AES_ENCRYPT只能作用于单个字段值，无法加密整个SQL文件内容。若强行在导出前对所有敏感字段加密，会导致备份中存储的是密文——恢复时仍需解密逻辑支撑，且原始明文已不可逆丢失，违背“可验证、可回退”的备份基本原则。
常见错误现象：
– 把mysqldump输出重定向进mysql -e "SELECT AES_ENCRYPT(...) FROM ..."，结果是语法错误或空输出
– 试图用SELECT ... INTO OUTFILE配合AES_ENCRYPT生成“加密备份”，但该文件仍是明文SQL，只是某几列被转成二进制blob，无法直接导入还原
推荐做法：用openssl或gpg对dump文件流式加密
这是生产环境最可控、审计友好、且不依赖MySQL版本的方式。加密发生在文件生成后、落盘前，与数据库逻辑完全解耦。
- 使用
openssl（AES-256-CBC，带盐值，兼容性好）：mysqldump -u root -p database_name | openssl enc -aes-256-cbc -salt -pbkdf2 -iter 100000 -out backup.sql.enc
解密时用：openssl enc -d -aes-256-cbc -pbkdf2 -iter 100000 -in backup.sql.enc | mysql -u root -p database_name
- 使用
gpg（更适合密钥分发和权限控制）：mysqldump -u root -p database_name | gpg --cipher-algo AES256 --compress-algo 1 --symmetric --armor > backup.sql.gpg
注意：--symmetric表示密码加密，非公钥；--armor生成ASCII格式便于传输 - 关键参数说明：
–-pbkdf2 -iter 100000大幅提升暴力破解成本，别用默认迭代次数
– 加密密码严禁写在命令行（会留痕于ps和shell历史），应通过openssl交互式输入或从stdin读取
– 输出文件扩展名建议明确标识加密类型（如.sql.enc、.sql.gpg），避免误操作
备份加密后必须验证可恢复性
加密不是终点，能解密并成功导入才是有效备份。每次加密备份后，必须在隔离环境执行完整恢复流程测试。
- 不要只校验文件大小或
openssl enc -d是否报错——那只能说明语法合法，不代表SQL内容完整 - 恢复验证至少包含三步：
– 解密输出重定向到临时SQL文件（避免管道失败难排查）
– 用mysql --verbose导入，检查是否有ERROR 1064（语法错误）或ERROR 1366（编码转换失败）
– 随机抽样查几条敏感字段，确认业务逻辑层读取正常（比如手机号能否被应用正确解密显示） - 自动化脚本中建议加入
head -n 20检查解密后文件开头是否为/*!或DELIMITER等合法dump标记，快速拦截空/损坏文件
密钥管理与备份生命周期强绑定
加密备份的价值完全取决于密钥是否可用。丢密钥 = 丢数据，没有例外。
- 密码不能存在配置文件、crontab注释、或运维文档里；推荐用
pass（密码存储器）、HashiCorp Vault或AWS Secrets Manager托管，并限制访问权限组 - 每次轮换加密密码，必须同步更新备份策略文档，并对旧备份做一次“密钥归档”动作——即用新密码再加密一遍旧备份（或至少记录旧密码存档位置）
- 备份保留策略要覆盖密钥生命周期：例如密钥有效期1年，则对应加密备份至少保留1年+宽限期，否则到期后无法解密
真正容易被忽略的是加密与恢复之间的“上下文一致性”：比如mysqldump用了--set-gtid-purged=OFF，但恢复时目标实例开启了GTID，就会卡在Waiting for GTID execution；又比如导出时用了--default-character-set=utf8mb4，但解密后导入未指定，导致中文变???。这些和AES无关，却让加密备份变成废文件。
