binlog_encryption设为on但未加密，需确认mysql版本≥8.0.14、在[mysqld]段配置binlog_encryption=on并重启，且必须提前加载keyring插件（如keyring_file）并正确配置路径。
binlog_encryption 设置为 ON 但日志没加密？检查 MySQL 版本和启动参数
MySQL 的 binlog_encryption 是 8.0.14 引入的特性，低于这个版本（比如 8.0.13 或任何 5.7）设了也无效，SHOW VARIABLES LIKE 'binlog_encryption' 可能显示 OFF 或直接报错未知变量。
即使版本达标，该变量是只读的，必须在启动时通过配置文件或命令行启用，运行时 SET GLOBAL binlog_encryption = ON 会报错 Variable 'binlog_encryption' is a read only variable。
- 确认版本：
SELECT VERSION();，必须 ≥8.0.14 - 配置文件（如
/etc/my.cnf）中添加：binlog_encryption=ON，不能写在[client]段，必须在[mysqld]下 - 重启 mysqld 后验证：
SELECT @@binlog_encryption;应返回ON，同时检查错误日志是否有Failed to initialize binlog encryption keyring类提示
启用了 binlog_encryption 却报错 “Keyring service not found”
加密依赖 keyring 插件提供密钥管理，MySQL 默认不自动加载 keyring，即使 binlog_encryption=ON 也会因找不到密钥环而降级为未加密，并记录警告。
常见错误现象：binlog 文件仍可用 mysqlbinlog 直接解析出明文 SQL，SHOW BINARY LOGS 列出的日志大小与未加密时几乎一致，无明显膨胀。
- 必须显式安装并启用至少一个 keyring 插件，例如
keyring_file（开发/测试常用）：INSTALL PLUGIN keyring_file SONAME 'keyring_file.so'; - 配置 keyring_file 路径（需在
[mysqld]段）：keyring_file_data=/var/lib/mysql-keyring/keyring，确保目录存在、属主为mysql、权限为0600 - keyring 插件必须在
binlog_encryption=ON之前加载，否则启动时初始化失败，建议在配置文件中把early-plugin-load=keyring_file.so放在最前面
mysqlbinlog 解析加密 binlog 报错 “Binary log is encrypted”
这是正常行为——加密后的 binlog 无法被旧版 mysqlbinlog（ERROR: Binary log is encrypted 或 Failed to decrypt event。
不是配置失败，而是加密生效的标志。但要注意：用于解析的客户端必须满足两个条件，缺一不可。
- 使用 MySQL 8.0.14+ 自带的
mysqlbinlog，路径通常是/usr/bin/mysqlbinlog（而非系统 PATH 里可能存在的旧包） - 运行时必须能访问同一 keyring（比如
keyring_file_data指向的文件），可通过--defaults-file指定含 keyring 配置的 my.cnf，或用--plugin-dir+--defaults-group-suffix控制插件加载 - 如果用远程解析（
--read-from-remote-server），服务端必须已启用 keyring，且网络用户有SUPER或BACKUP_ADMIN权限
开启 binlog_encryption 后磁盘空间和性能变化明显
加密本身开销不大，但实际观察到的空间增长和延迟上升，往往来自配套机制：MySQL 会在每个 binlog 文件头写入加密元数据，并强制对齐块边界；更关键的是，keyring_file 插件默认每 30 秒持久化一次密钥，频繁刷盘可能影响 IO。
生产环境若发现 binlog 文件体积比预期大 10–20%，或主从延迟轻微上升，先别急着关加密，排查这些点：
- 确认没有误配多个 keyring 插件（如同时加载
keyring_file和keyring_encrypted_file），会导致密钥反复生成和写入 -
keyring_file_data所在磁盘不要和datadir共用高负载 SSD，尤其避免放在 NFS 或低 IOPS 云盘上 - 加密不会改变 binlog 格式（
ROW/STATEMENT），但若原本用STATEMENT且大量非确定函数，加密后问题依旧存在，别误以为加密能解决复制一致性
真正麻烦的不是加密本身，而是密钥生命周期管理——MySQL 不提供密钥轮换命令，一旦 keyring 文件损坏或丢失，所有已加密 binlog 永久不可读。备份 keyring_file_data 文件比备份 binlog 更优先。
