MySQL 8.0 TDE启用需同时满足三条件：版本支持（编译含innodb_encrypt_tables）、keyring_file插件ACTIVE、表为独立表空间；缺一则ENCRYPTION='Y'静默失效，.ibd仍明文。
MySQL 8.0 的 TDE 不是“配完就加密”，而是必须同时满足版本支持、keyring_file 插件 ACTIVE、表为独立表空间这三项，缺一就会导致 ENCRYPTION='Y' 静默失效——.ibd 文件仍以明文落盘。
确认 MySQL 二进制是否真带 TDE 支持
仅靠 SELECT VERSION(); 返回 8.0.34 不够。TDE 是编译期特性，社区版默认不启用：innodb_encrypt_tables 必须被编译进二进制，否则整个功能不存在。
- 执行
SELECT * FROM information_schema.INNODB_ENCRYPTION;—— 若报错Table 'information_schema.INNODB_ENCRYPTION' doesn't exist，说明不支持，换企业版或官方试用版 - 运行
SHOW VARIABLES LIKE 'innodb_encrypt%';—— 无任何输出也表明缺失支持 - 企业版用户请核对该小版本在官网发行说明中是否明确标注 “Transparent Data Encryption”
keyring_file 插件加载失败的三个硬卡点
插件状态为 DISABLED 或查不到，不是配置漏了，而是路径、权限、顺序全错了。
MySQL8 CRM Schema Design Expert
下载
面向 CRM 系统的 MySQL 8 数据库模式设计。当用户需要为客户关系管理（CRM）系统设计、评审、优化或生成数据库模式时，应使用此项技能。
-
early-plugin-load=keyring_file.so必须写在[mysqld]段最开头，不能有任何其他配置（包括注释）在它前面；带路径如/usr/lib/mysql/plugin/keyring_file.so会直接导致启动失败 -
keyring_file_data=/var/lib/mysql-keyring/keyring对应目录必须由mysql用户完全拥有，且权限严格为700；755或777均触发Plugin 'keyring_file' init function returned error - 该路径不能位于
tmpfs、NFS、/run或 SELinux/AppArmor 限制区域；CentOS/RHEL 上可用ausearch -m avc -ts recent查拦截原因 - 启动前务必清空旧密钥文件：
rm -f /var/lib/mysql-keyring/keyring，MySQL 会在首次启动时自动创建并初始化
让一张 InnoDB 表真正加密的实操路径
ALTER TABLE t1 ENCRYPTION='Y' 不是加个标记，而是触发全表重建（ALGORITHM=COPY），老数据不会自动重写。
- 先确认表用独立表空间：执行
SHOW CREATE TABLE t1;，输出中必须含TABLESPACE = innodb_file_per_table或无显式TABLESPACE；若为共享表空间（ibdata1），需先执行ALTER TABLE t1 TABLESPACE=innodb_file_per_table; - 执行
ALTER TABLE t1 ENCRYPTION='Y';—— 单引号不能省，值只能是'Y'或'N'，ON/TRUE会报错ERROR 1064 - 验证是否生效：查询
SELECT NAME, ENCRYPTION_TYPE FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME LIKE '%t1%';，ENCRYPTION_TYPE应为Y
日志和 binlog 默认不加密，必须单独开启
TDE 只管 InnoDB 数据页，ib_logfile*、binlog、临时表、undo log 默认仍是明文。迁移后若要覆盖静态数据泄露面，必须额外配：
-
innodb_redo_log_encrypt=ON（MySQL 8.0.17+ 才支持） -
binlog_encryption=ON（同上版本） - 这两项开启后增加 CPU 开销；
binlog_encryption还会影响主从兼容性——旧从库无法解析加密 binlog
最容易被忽略的是：即使所有配置都对，只要表还在共享表空间里，或者密钥文件权限是 755，或者 early-plugin-load 被挡在别的配置后面，ENCRYPTION='Y' 就只是语法通过，磁盘上还是明文。
