必须启用SSL/TLS加密通道与备份文件端到端加密双层防护，单靠其一等于裸奔；需确认源库和目标库have_ssl=YES、require_secure_transport=ON，证书路径为绝对路径且私钥权限600，客户端命令必须显式指定--ssl-mode=REQUIRED。
必须用 SSL/TLS 加密通道 + 备份文件端到端加密双层防护，单靠其中一种等于裸奔。
确认源库和目标库 have_ssl = YES 且 require_secure_transport = ON
迁移前不查 have_ssl，后面所有 SSL 配置都白配。登录两边 MySQL 执行：SHOW VARIABLES LIKE 'have_ssl'，返回值必须是 YES，不是 DISABLED 或空。常见掉坑点：
- MariaDB 精简版、Alpine 镜像默认不带 OpenSSL 模块，
have_ssl = DISABLED表示整个 SSL 栈根本没加载 -
require_secure_transport = ON必须写在[mysqld]段，写错段落（比如塞进[client]）会被静默忽略 - 证书路径必须是绝对路径，且 MySQL 进程能读：私钥权限必须为
600，文件属主为mysql:mysql，别放/root/或/home/下 - 改完配置必须
systemctl restart mysqld，reload不生效
mysqldump 和 mysql 命令必须显式加 --ssl-mode 参数
服务端开了 SSL，客户端不声明就走明文。迁移命令里漏掉 --ssl-mode，dump 文件和账号密码全在公网裸奔。实操要点：
- 导出时用：
mysqldump --ssl-mode=REQUIRED --host=src.example.com --user=repl --password=xxx db_name > dump.sql - 导入时用：
mysql --ssl-mode=REQUIRED --host=dst.example.com --user=admin --password=xxx db_name - 若目标库要求 CA 验证（生产环境推荐），则改用
--ssl-mode=VERIFY_CA --ssl-ca=/path/to/ca.pem - 不要依赖
my.cnf中的[client]段自动继承——不同云平台的客户端版本差异大，显式指定最稳
备份文件传输阶段必须再加一层 GPG 加密
SSL 只保传输过程，文件落地后若被拖库或误传，敏感数据立刻暴露。尤其跨云（如本地 → 阿里云 RDS → AWS RDS 中转）时，中间环节不可控。
- 导出后立即加密：
gpg -c dump.sql（交互输密码）或gpg --batch --passphrase-fd 0 -c dump.sql < keyfile.txt - 传输用
scp或rsync -e ssh，别用 HTTP/FTP/未认证 S3 PUT - 目标端解密前先校验 SHA256：
sha256sum dump.sql.gpg对比源端输出，防传输损坏或篡改 - 密钥管理别硬编码：GPG 密码建议从 HashiCorp Vault 或阿里云 KMS 拉取，避免出现在脚本或 CI 日志中
AES 加密字段迁移必须验证可逆性，不能只信字段类型
如果表里有 AES_ENCRYPT() 字段，直接 mysqldump + mysql 导入后大概率解不出原文——因为密钥、模式（ECB/CBC）、填充、字符集稍有偏差就返回 NULL。
- 抽样验证：从源库取几条加密值，用原密钥和相同算法在目标库执行
AES_DECRYPT(value, @key)，看是否还原出原始明文 - 字段类型必须是
VARBINARY或BLOB，存进VARCHAR会因字符集转换截断或乱码（尤其utf8mb4） - 若原逻辑非标准 AES（比如 PHP 层套了 base64 或多次 XOR），必须在目标库复现函数，或改用应用层先解密再重加密
- 注意
innodb_encrypt_tables=ON这类表空间加密：源库启用了，目标库没开插件或密钥不一致，恢复后表打不开，报错类似Tablespace is encrypted but encryption plugin is not active
真正容易被忽略的是：SSL 和 GPG 是两道独立防线，缺一不可；而字段级加密的可逆性验证，90% 的团队在上线前只做“能导入”，不做“能正确解密”。
