3. TDE 支持的数据库平台对比
说实话，TDE 这东西看着是个统一概念，但各家实现差别很大。我这些年碰过 SQL Server、Oracle、MySQL 和 PostgreSQL，每个平台的 TDE 都有各自的脾气。今天咱们就把这四个主流数据库的 TDE 实现掰开揉碎讲清楚。
先看一张总览图，后面再逐个细说。
3.1 SQL Server TDE
SQL Server 是 TDE 的老玩家了。从 SQL Server 2008 开始就支持。我个人习惯把它的加密流程叫「三层钥匙结构」——数据库加密密钥 (DEK) 加密数据文件，DEK 又由证书保护，证书最后上交给主密钥。
我记得有个金融客户，一开始直接把证书放在本地文件系统里。结果一次硬件故障，证书丢了，整个数据库恢复成了噩梦。后来我强制他们用 Azure Key Vault 或者硬件安全模块 (HSM)。你想想看，证书就是命根子，丢了数据就彻底读不了。
BACKUP DATABASE ... WITH ENCRYPTION 语句，备份文件就自动加密了。我曾经帮客户把备份直接丢到异地存储，省去了单独加密备份的麻烦。
3.2 Oracle TDE
Oracle 的 TDE 分两种模式：列级加密和表空间级加密。列级加密出现得早，但性能开销大，现在生产环境基本都推荐表空间级加密。
Oracle 用 Wallet 来管理主密钥。说白了就是一个加密的「保险柜」文件。每次数据库启动时得先打开 Wallet。
这里有个大坑：如果 Wallet 密码丢了或者文件损坏，整个表空间的数据就废了。我曾经在一家电商公司做灾备演练，运维误删了 Wallet 备份文件，差点被开除……后来我设计了一套 Wallet 自动备份到远程存储的策略，才让人安心。
3.3 MySQL TDE
MySQL 的 TDE 支持起步较晚。从 MySQL 5.7 开始通过 keyring 插件实现，到了 MySQL 8.0 才比较成熟。但有个痛点——企业版才全面支持，社区版只能凑合用部分功能。
MySQL TDE 加密的是整个表空间文件（.ibd）。密钥由 keyring 插件管理，支持文件系统、Hashicorp Vault、Oracle Key Vault 等后端。
我在项目中遇到过一个问题：开启 TDE 后，某些版本的 binlog 没加密，导致日志文件泄露了敏感数据。嗯，这里要注意——MySQL 的 binlog 和 relay log 默认不加密，需要单独配置 binlog_encryption=ON。很多文档都容易忽略这点。
-- 安装 keyring 插件（假设使用文件插件）
INSTALL PLUGIN keyring_file SONAME 'keyring_file.so';
SET GLOBAL keyring_file_data = '/var/lib/mysql-keyring/keyring';
-- 创建加密表
CREATE TABLE tde_test (
id INT PRIMARY KEY,
secret_data VARCHAR(100)
) ENCRYPTION='Y'; -- 这就是开启 TDE 的标志3.4 PostgreSQL pg_tde
PostgreSQL 原生 TDE 支持一直是个缺口。社区也吵了很久。目前主要靠第三方扩展，比如 pg_tde（由 CyberTec 贡献）、pg_crypto、或者企业版的 TDE（如 EDB Postgres Advanced Server）。
pg_tde 是个比较新的扩展。它支持表级和表空间级加密，还能加密 WAL 日志。密钥管理比较灵活，可以用内置密钥存储，也可以对接外部 KMS。
说实话，我去年还在一个物联网项目里测试过 pg_tde。当时最担心性能，实际跑下来发现，SELECT 性能损失约 5-10%，写入略高些，大概 15-20%——对于查询密集场景基本可以接受。
3.5 四平台核心参数对比表
| 对比维度 | SQL Server | Oracle | MySQL | PostgreSQL (pg_tde) |
|---|---|---|---|---|
| 加密粒度 | 数据库级 | 表空间级 / 列级 | 表空间级 | 表级 / 表空间级 |
| 密钥管理 | 证书 / ASM / HSM | Oracle Wallet / HSM | Keyring 插件 (文件/ Vault) | 内置 / 外部 KMS |
| 备份加密 | 原生支持 | RMAN 原生 | 部分（企业版） | 扩展支持 |
| 性能影响 (典型) | 5-10% | 3-8% | 10-15% | 5-20% |
| 主密钥轮换 | 在线轮换 | 在线轮换 | 需重建表 | 支持（扩展内） |
| WAL/日志加密 | 需额外配置 | 自动加密 | 需 binlog_encryption | 支持 |
| 许可证成本 | 企业版含 | 高级安全选件 | 企业版 | 开源免费 |
从这张表你可以看到，Oracle 在性能和 WAL 加密方面占优，但许可证费用高得吓人。MySQL 的 TDE 门槛最低（尤其社区版也有一些支持），但主密钥轮换特别麻烦——我曾经不得不停机做轮换，那种痛苦你懂的。PostgreSQL 的 pg_tde 最灵活，但毕竟是扩展，稳定性还需要更多生产环境验证。
3.6 选型建议
怎么选？别只看技术参数。我给出几条实际判断准则：
- 如果是金融、医疗等合规严苛场景：首选 Oracle TDE，合规文档最全，审计支持最好。但预算要够。
- 如果已经用了 SQL Server 生态：直接上 SQL Server TDE，跟 Always On、备份、HA 集成度高。
- 如果是互联网公司、MySQL 重度用户：MySQL TDE + keyring_vault（对接 Hashicorp Vault），密钥管理能自动化。但注意 binlog 加密不要漏。
- 如果追求开源、灵活：PostgreSQL + pg_tde 值得尝试。我建议先在非核心业务跑半年，观察性能和密钥轮换的体验。