sql数据加密存储核心是敏感字段写入前加密、读取时解密，需优选aes对称加密（如手机号）、慎用数据库内置函数，并配合密钥管理、随机iv、混合加密等机制。
SQL 数据加密存储的核心是“敏感数据在写入数据库前加密，读取时解密”，而不是给整个数据库或表加锁。关键在于选对加密方式、管好密钥、避开常见陷阱。
对称加密：适合高频读写的字段
使用 AES-128 或 AES-256 加密单个字段（如手机号、身份证号），加解密速度快，适合业务频繁查询的场景。需注意：
- 密钥绝不能硬编码在 SQL 或应用代码里，应通过环境变量或密钥管理服务（如 AWS KMS、阿里云 KMS）动态获取
- 必须使用随机 IV（初始化向量），且每次加密都生成新 IV，并与密文一起存入数据库（例如新增 phone_iv 字段）
- 推荐用 PKCS#7 填充，避免因明文长度不整导致解密失败
非对称加密：适合低频但高安全要求的场景
用 RSA 公钥加密（如用户上传的合同原文），私钥仅由后台服务持有并解密。适用于不需要数据库直接参与检索的字段：
Extjs简单版酒店管理系统 bulid 081016
下载
该系统采用VS2005+SQL2000+Extjs2.0开发由于学extjs 一月不到 属初学者，项目有很多不足地方请见谅(注释不标准按自己想法随意注释了一下)数据库脚本:压缩包目录下.DB.sql便是该项目为双用户：管理员 与营业员 角色登陆显示不同信息数据库方面一小部分功能运用存储过程或者直接附加DB_51aspx下Sql数据库文件
- 公钥可公开嵌入前端或配置中心，用于客户端预加密；私钥必须离线保管，禁止出现在数据库或日志中
- 单次加密明文长度受限（如 RSA-2048 最多加密 245 字节），大文本需先用 AES 生成临时密钥，再用 RSA 加密该密钥（即混合加密）
- 不建议用非对称加密做用户名/密码字段——性能差，且无法支持模糊查询或索引
数据库内置加密函数要慎用
MySQL 的 AES_ENCRYPT()、PostgreSQL 的 pgcrypto 模块虽方便，但存在明显短板：
- 密钥由 SQL 语句传入，容易被慢查询日志、审计日志或代理中间件意外记录
- 加密结果为二进制，存入 VARCHAR 可能因字符集转换出错；建议统一用 VARBINARY 或 BASE64 编码后存 TEXT
- 无法跨语言解密（如 Java 应用写入，Node.js 读取可能因填充模式或编码差异失败）
实战案例：用户手机号字段加密落地
某 SaaS 系统需满足等保三级对手机号的加密要求，同时保留按号段导出能力（即需支持 LIKE 查询前三位）：
- 方案：手机号前三位明文存储（phone_prefix），后八位 AES 加密（phone_encrypted + phone_iv）
- 应用层使用标准 AES-GCM 模式，保证加密+完整性校验，IV 随机生成并 Base64 存储
- 查询时，先根据 phone_prefix 快速过滤，再在应用内存中批量解密匹配结果，避免全表扫描
- 密钥轮换时，新增 key_version 字段标识密文所用密钥版本，旧数据按需逐步重加密
不复杂但容易忽略：加密不是银弹，它解决的是“磁盘泄露”风险，无法防御已登录数据库账号的恶意查询。真正安全需要配合最小权限原则、字段级行级安全策略和操作审计日志一起落地。
