Always Encrypted 下 INSERT 性能下降主因是客户端驱动自动加密开销：每次需查元数据、获取并解密列主密钥（CMK）、用列加密密钥（CEK）加密值、序列化，批量时线性放大；密钥访问延迟（如 Azure Key Vault RTT）和重复解密 CMK 是最大瓶颈，禁用自动加密、预加密+缓存 CEK、SET NOCOUNT ON 可显著优化。
直接在启用 Always Encrypted 的表上执行常规 INSERT 语句，性能会明显下降——不是因为 SQL Server 慢，而是加密动作发生在客户端，每次参数都要走密钥获取、加密、序列化三步。关键不在“怎么插”，而在“谁来加密”和“怎么绕过瓶颈”。
Always Encrypted 下 INSERT 性能掉点在哪
驱动层（如 Microsoft.Data.SqlClient）检测到目标列为加密列时，会自动对对应 SqlParameter 值做客户端加密。这个过程包含：查列加密元数据 → 获取列主密钥（CMK）→ 解密 CMK（可能调用 Windows DPAPI/Azure Key Vault）→ 用列加密密钥（CEK）加密值 → 序列化为二进制。单次插入不明显，但批量插入时，密钥解密和加解密开销会线性放大。
常见错误现象：SqlException: Failed to decrypt column encryption key 或 CPU 占用飙升、插入吞吐量骤降 50%+。
- 密钥访问延迟是最大变量：本地 DPAPI 快，Azure Key Vault 网络 RTT 高，尤其未启用缓存时每行都重拉
- 加密算法本身有开销：AEAD_AES_256_CBC_HMAC_SHA_256 比普通字符串拼接慢 2–3 个数量级
- 驱动默认不复用已解密的 CEK，即使同一批插入相同列，也重复解密 CMK
显式控制加密过程，跳过自动加密路径
避免让驱动自动处理加密，改由应用层预加密，再以 varbinary 形式传入。这样可把密钥操作从循环内提到循环外，大幅减少重复开销。
实操步骤：
- 用
SqlColumnEncryptionSetting.Encrypt显式设置参数方向，但传入前手动调用SqlConnection.EncryptColumnEncryptionKey和SqlConnection.EncryptColumn - 对固定列结构的批量插入，提前解密一次 CEK，缓存
byte[]，后续所有行复用该密钥加密 - 插入语句中，字段类型必须匹配加密后的二进制长度（如
ENCRYPTED WITH (COLUMN_ENCRYPTION_KEY = ..., ENCRYPTION_TYPE = DETERMINISTIC, ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256')对应的varbinary(8000)） - 禁用驱动自动加密：构造
SqlConnection时传入"Column Encryption Setting=Disabled"连接字符串参数
批量插入时必须关掉 SET NOCOUNT OFF
默认情况下，SQL Server 对每条 INSERT 返回影响行数消息。在 Always Encrypted 场景下，这个额外往返会放大网络延迟影响——尤其当密钥调用已引入高延迟时，SET NOCOUNT ON 能直接砍掉 10–15% 的端到端耗时。
示例：
SET NOCOUNT ON; INSERT INTO Customers (CustomerID, SSN) VALUES (@id1, @ssn1), (@id2, @ssn2);
注意：@ssn1 和 @ssn2 必须已是加密后的 varbinary，不能是明文字符串。
- 不要依赖 ORM 自动生成的 INSERT（如 EF Core 的 SaveChanges），它们通常无法绕过自动加密流程
- 若用
BULK INSERT或SqlBulkCopy，需确保源数据已是加密二进制，且目标列定义为varbinary并带加密元数据 -
SqlBulkCopy不支持自动加密，但支持ColumnMappings+WriteToServer手动传入加密值，这是高吞吐场景唯一可行路径
容易被忽略的密钥缓存与权限陷阱
最常被跳过的一步：CMK 在 Azure Key Vault 中未启用软删除和恢复策略，或应用身份缺少 get 和 unwrapKey 权限，导致每次插入都因权限拒绝重试，表现像“随机卡顿”。
另一个隐形坑：本地开发用 Windows DPAPI，上线却切到 Azure Key Vault，但没配好托管标识或证书信任链，结果在生产环境首次插入就超时。
务必确认：
- CMK 的密钥版本未轮换，且旧版本密钥仍保留（否则历史加密数据无法解密，新插入却可能失败）
- 连接字符串中明确指定
Column Encryption Setting=Enabled，否则驱动不会加载加密元数据，插入会报类型不匹配 - 加密列不能参与
GROUP BY、ORDER BY（除非是DETERMINISTIC类型），但 INSERT 语句里误写计算字段会直接报错，而非静默失败
