3. 字段级加密 vs 全表加密 vs 应用层加密

说到加密策略，很多团队一上来就问：“到底选哪种？”

老实说，没有银弹。三种方案各有各的脾气。我见过不少项目，因为一开始选型拍脑袋，后来迁移数据时叫苦连天。今天咱们就掰开了聊聊三者的区别，以及什么场景该用哪个。

3.1 核心概念对比

先看一张对比表，整体感知下差异：

维度	字段级加密	全表加密	应用层加密
加密粒度	单个字段（如身份证号）	整张表或整个库	应用代码决定，可灵活控制
性能影响	仅影响加密字段操作	全表读写性能下降明显	取决于实现方式，可控
查询支持	支持部分查询（如等值匹配）	基本不支持	需自行实现解密后查询
运维复杂度	中等	低	高
密钥管理	字段级密钥，管理成本较高	表级密钥，简单	应用层密钥，最灵活
典型场景	金融、医疗、合规数据	归档库、测试环境	自定义业务逻辑，混合查询

说白了，三者的核心差异就在“在哪加密”和“加密到什么粒度”。

3.2 字段级加密：精细到每一列

这是我个人最常用的方案。字段级加密，就是只对表中的敏感字段（比如身份证号、手机号）进行加密，其他字段保持明文。这样做的好处很明显：你依然可以对其他字段做索引、做查询，性能影响被限制在最小范围内。

不过也有坑。我记得有一次，团队新人误把加密字段的密钥类型配成了对称加密，但业务代码里用的却是非对称解密，结果线上数据读不出来了。嗯，这里要注意：字段加密的密钥体系一定和代码逻辑对齐。

字段级加密的典型实现：

// 伪代码示意
UserEntity user = new UserEntity();
user.setId(12345);
user.setName("张三");
// 只加密敏感字段
user.setIdCard(encryptUtil.encrypt("110101199001011234"));
user.setPhone(encryptUtil.encrypt("13800138000"));

// 插入数据库时，其他字段明文入库
userDao.insert(user);

优点：

• 查询效率高，非敏感字段可建索引
• 可按需选择加密算法
• 满足合规要求的“最小化加密”原则

缺点：

• 密钥管理复杂：每个字段可能对应不同密钥
• 加密字段的查询受限（比如不能做模糊查询）
• 需要维护字段级别的权限白名单

3.3 全表加密：简单粗暴

全表加密，就是把整张表的数据全部加密存储。你在数据库里看到的所有内容都像乱码。

我以前帮某个客户做系统灰度，需要把生产数据分批迁移到测试环境。当时图省事，直接对整表做了TDE（透明数据加密）。好处是运维成本极低，数据库层面自动加解密，应用端完全无感知。

所以我的建议是：全表加密只适合冷数据、归档数据、或者没有查询需求的场景。 如果你需要对加密后的数据做实时查询，全表加密基本是死胡同。

优点：

• 部署简单，数据库自带功能
• 应用代码无需修改
• 适合快速实现基本安全

缺点：

• 性能损失大，尤其批量操作
• 不支持任何数据库级别查询
• 备份恢复复杂度增加

3.4 应用层加密：完全掌控

应用层加密，说白了就是 在代码层自己控制加解密逻辑，数据库只负责存密文。 这种方式最灵活，但也最容易出问题。

你想想看，开发人员可以在代码里任意决定：什么时候加密、用什么算法、是否带IV、密文存成什么格式。我见过有人把密文和明文字段混存在同一张表里，也见过把加密钥匙硬编码在业务类里……这些都是大忌。

举个例子：一个基本的应用层加密实现：

// 最简单的做法
public String encrypt(String plainText) {
    // 别把密钥写死在代码里！
    String key = "my-secret-key-12345";
    return AESUtil.encrypt(plainText, key);
}

// 正确的做法
public String encrypt(String plainText) {
    // 密钥从配置中心或KMS获取
    SecretKey key = keyService.getKey("data_key_v1");
    return encryptor.encrypt(plainText, key);
}

另外要注意：审计日志里不能出现明文。 我以前参与过一个项目，开发哥哥为了方便调试，在日志里把解密后的明文打出来，结果日志被人翻到了……复盘时大家都冷汗直流。

优点：

• 最灵活，可定制各种加密策略
• 支持混合查询（部分解密后查询）
• 密钥完全可控

缺点：

• 实现复杂，容易引入漏洞
• 开发成本高，需自行管理加密生命周期
• 密钥分发和轮换是难题

3.5 选型指南

一张SVG图帮你理清选择路径：

你看，选型其实就三个问题：

1. 性能敏感吗？ – 是 → 字段级加密
2. 需要业务逻辑灵活性吗？ – 是 → 应用层加密
3. 如果两者都不需要？ – 兜底选字段级加密

全表加密我只推荐在 冷数据归档、测试数据脱敏、快速合规检查 时使用。别把它当成主方案，否则后面改起来成本极高。