答案：保护MySQL敏感字段需结合加密与安全策略。1. 使用AES_ENCRYPT函数加密字段，存储为BLOB类型；2. 推荐应用层加密（如AES-256），密钥由KMS或环境变量管理；3. MySQL企业版可启用TDE加密表空间防物理泄露；4. 密码应哈希存储，推荐bcrypt等不可逆算法；5. 核心原则是密钥与数据分离，避免明文暴露。
在 MySQL 中保护敏感字段（如身份证号、手机号、密码等）需要结合加密存储和安全访问策略。直接在数据库层面加密字段，可以防止数据泄露时敏感信息被直接读取。以下是几种常用且有效的方法。
使用 AES_ENCRYPT 和 AES_DECRYPT 函数
MySQL 提供了内置的加密函数 AES_ENCRYPT() 和 AES_DECRYPT()，基于 AES 算法（默认 128 位密钥），适合对单个字段进行加解密。
示例：
-- 插入加密数据
INSERT INTO users (name, phone)
VALUES ('张三', AES_ENCRYPT('13800138000', 'your-secret-key'));
-- 查询解密数据
SELECT name, AES_DECRYPT(phone, 'your-secret-key') AS phone
FROM users WHERE name = '张三';
注意：返回的是二进制数据，建议字段类型设为 BLOB 或 VARBINARY，避免字符集问题。
应用层加密更安全
在应用程序中使用强加密算法（如 AES-256）加密数据后再存入数据库，是更推荐的做法。这样密钥不会暴露在 SQL 语句或数据库日志中。
常见做法：
- 使用语言级加密库（如 PHP 的 openssl_encrypt，Python 的 cryptography）
- 加密后将密文以 Base64 或十六进制字符串形式存入数据库
- 密钥由密钥管理系统（KMS）或环境变量管理，不硬编码
优势：密钥与数据库分离，即使数据库被拖库，也无法轻易解密。
使用 MySQL 企业版透明数据加密（TDE）
MySQL 企业版支持表空间级别的透明数据加密（TDE），可自动加密整个表的数据文件，防止物理存储泄露。
启用方式（需配置）：
- 在 my.cnf 中启用 innodb_undo_log_encrypt 和 innodb_redo_log_encrypt
- 创建表时指定 ENCRYPTION='Y'
注意：TDE 保护的是静态数据，不加密内存或网络传输中的数据，且不针对特定字段。
密码字段应使用哈希而非加密
对于密码这类敏感信息，不应使用可逆加密，而应使用强哈希算法（如 bcrypt、scrypt、Argon2）。
MySQL 原生支持 SHA2：
INSERT INTO users (username, password_hash)
VALUES ('user1', SHA2('user-password', 256));
但更推荐在应用层使用专用哈希库处理密码。
基本上就这些。核心原则是：敏感字段尽量在应用层加密，密钥独立管理，避免明文出现在数据库或日志中。MySQL 内置函数可用，但要注意密钥传递的安全性。
