日志加密基础：对称与非对称加密
各位好，我是你们的讲师。咱们直接进入正题。
说到租户隔离，日志加密是第一道防线。你想想看，一个日志文件里可能包含多个租户的敏感数据。如果存储或传输时是明文，那隔离做得再好也白搭。说白了，加密就是把明文变成密文，让偷看的人一脸懵。
为什么日志必须加密？
我遇到过不少团队，觉得日志就是内部看看，没必要加密。直到有一次合规审计，发现日志文件被运维人员误拷贝到了外网机器……后果很严重。从那以后，我项目里的日志落地必须加密。
- 合规要求：很多行业标准（比如PCI-DSS、GDPR）明文要求日志数据加密存储。
- 防止数据泄露：日志里可能有用户IP、操作记录、甚至业务敏感信息。明文保存就是裸奔。
- 租户隔离的根基：只有加密后，才能确保即使存储介质被偷，租户数据也不会被直接读取。
核心观点：加密不是可选项，是租户隔离的必备条件。不加密的日志隔离方案，在合规上基本是零分。
对称加密 vs 非对称加密
这里我简单对比一下这两种加密方式。很多新手会混淆，其实区别很清晰。
| 维度 | 对称加密 | 非对称加密 |
|---|---|---|
| 密钥特点 | 加密和解密用同一个密钥 | 公钥加密，私钥解密（成对出现） |
| 性能 | 非常快，适合大量数据 | 慢，通常只用来加密小数据或密钥 |
| 安全性依赖 | 密钥保密是关键 | 私钥保密，公钥可以公开 |
| 典型算法 | AES、SM4、ChaCha20 | RSA、ECC、SM2 |
| 日志场景 | 适合加密日志内容本身 | 适合加密对称密钥（即密钥交换） |
嗯，这张表你多看几遍。我个人的习惯是，日志内容加密用对称加密，因为性能好。而密钥的安全分发和存储，交给非对称加密。
常用加密算法选型
选算法不能只看热度，得看实际场景。我这几年踩过的坑总结一下。
- AES-256：目前全球标准，硬件加速好，性能强。我建议日志加密首选。特别是GCM模式，自带认证，防止篡改。
- SM4：国密标准。如果你做国内合规项目，比如等保2.0、密评，必须用这个。性能跟AES差不多。
- RSA-2048/4096：用于加密对称密钥。注意，RSA不适合加密大文件，块大小有限制。
- ECC（如P-256）：比RSA更高效，密钥更短，安全性更强。我最新项目开始转向ECC了。
我的建议：日志加密现在主流方案是"对称加密内容 + 非对称加密密钥"。这样兼顾了性能和安全性。
加密算法选型对比表
下面这张表帮你快速决策。记住，没有银弹。
| 算法 | 密钥长度 | 性能等级 | 合规场景 | 我的评价 |
|---|---|---|---|---|
| AES | 128/256位 | 极高 | 国际化项目 | 默认首选，放心用 |
| SM4 | 128位 | 高 | 国内国密合规 | 必须掌握 |
| RSA | 2048/4096位 | 低 | 密钥分发 | 够用，但逐渐过时 |
| ECC | 256位 | 中 | 密钥分发/现代架构 | 推荐新项目采用 |
实际操作：一段加密示例
光说理论不行。来，我写一段伪代码，演示如何用AES加密日志。
// 使用AES-256-GCM加密日志条目
plaintext_log = "租户123 在2024-01-01 执行了删除操作"
encryption_key = "32字节的密钥（从密钥管理系统获取）"
ciphertext, tag = AES_GCM_encrypt(
plaintext_log,
key=encryption_key,
nonce="随机生成的12字节值"
)
// 将ciphertext和tag一起存入日志存储系统
// 解密时，需要相同的key和nonce才能解密并验证完整性嗯，这里要注意：nonce不能重复使用。我曾经见过一个系统因为nonce固定导致被破解，教训深刻。每个日志条目使用独立的nonce，或者用计数器保证唯一性。
BYOK场景下的密钥管理思路
既然我们是BYOK课程，这里提一下密钥管理思路。
- 密钥必须与日志分离存储：不要和日志放同一个集群。否则加密意义减半。
- 使用KMS（密钥管理系统）：比如AWS KMS、HashiCorp Vault等。应用层只管用，不存密钥。
- 定期轮换密钥：我建议至少每90天轮换一次。并且支持使用旧密钥解密历史数据，用新密钥加密新数据。
常见陷阱：千万别为了省事把密钥硬编码在代码或配置文件里。我曾经在审计时发现某团队把AES密钥写在配置中心，加了明文注释。这是个严重的安全风险。
日志加密核心逻辑图
下面这张SVG图，帮你理清日志加密的全链路。它是我在实际项目中沉淀下来的知识结构。
这张图你看懂了吗？从日志加密出发，三个核心分支：必要性、算法选型、密钥管理。这三个缺一不可。我在做BYOK方案时，就是先画这个图，再逐步填充细节。
最后说两句
日志加密没有想象中复杂。记住几个要点：用对称加密保护数据，用非对称加密保护密钥，把密钥交给KMS管理。嗯，这一章的内容就这些。各位回去后，可以对照自己项目的日志加密现状，看看哪里还有漏洞。