MySQL数据加密需配置传输层和存储层：先通过SSL实现传输加密，检查SSL支持与状态，配置证书并重启服务，强制用户SSL连接；再启用keyring插件如keyring_file，重启后创建或修改表启用InnoDB表空间加密，最后验证加密状态并定期备份密钥文件。
MySQL 数据加密主要分为两个层面：传输层加密（SSL/TLS）和数据存储层加密（透明数据加密 TDE 或表空间加密）。从 MySQL 5.7 开始，InnoDB 支持表空间级别的静态数据加密。以下是如何启用和配置 MySQL 数据加密的详细方法。
启用 SSL 加密（传输层加密）
确保客户端与服务器之间的通信加密，防止数据在传输过程中被窃听。
1. 检查是否支持 SSL：
mysql -u root -p -e "SHOW VARIABLES LIKE 'have_ssl';"若返回 YES，表示支持 SSL。
2. 检查 SSL 状态：
mysql -u root -p -e "SHOW STATUS LIKE 'Ssl_cipher';"如果输出非空，说明当前连接已使用 SSL。
3. 配置 MySQL 启用 SSL：
编辑 MySQL 配置文件（通常为 /etc/my.cnf 或 /etc/mysql/mysql.conf.d/mysqld.cnf）：
ssl-ca=/path/to/ca-cert.pem
ssl-cert=/path/to/server-cert.pem
ssl-key=/path/to/server-key.pem
MySQL 安装时默认会在 data 目录下生成测试证书和密钥，可用于测试。
4. 重启 MySQL 服务：
sudo systemctl restart mysql5. 强制用户使用 SSL 连接：
ALTER USER 'username'@'%' REQUIRE SSL;
启用 InnoDB 表空间加密（静态数据加密）
MySQL 5.7 及以上版本支持 InnoDB 系统表空间和独立表空间的加密。
1. 启用 keyring 插件：
静态加密依赖 keyring 插件来管理加密密钥。常用插件有 keyring_file 和 keyring_okv。
安装 keyring_file 插件：
INSTALL PLUGIN keyring_file SONAME 'keyring_file.so';或在配置文件中添加：
[mysqld]early-plugin-load=keyring_file.so
keyring_file_data=/var/lib/mysql-keyring/keyring
注意：确保目录存在且 MySQL 有读写权限。
2. 重启 MySQL 服务使插件生效。
3. 创建加密表：
CREATE TABLE t1 (id INT) ENCRYPTION='Y';4. 修改现有表启用加密：
ALTER TABLE t1 ENCRYPTION='Y';5. 查看加密状态：
SELECT TABLE_NAME, CREATE_OPTIONS FROM information_schema.TABLES WHERE TABLE_SCHEMA = 'your_db' AND CREATE_OPTIONS LIKE '%encryption%';注意事项与安全建议
• 备份 keyring 文件：keyring 文件包含解密所需密钥，丢失将导致数据无法恢复。
• 使用强密码保护密钥文件，并限制访问权限。
• 生产环境建议使用更安全的 keyring_okv 或硬件安全模块（HSM）。
• 加密会影响 I/O 性能，建议对敏感数据表单独加密。
• 定期轮换密钥（MySQL 支持密钥轮换）。
