在 MySQL 中保护敏感字段（如身份证号、手机号、密码等）需要结合加密存储和安全访问策略。直接在数据库层面加密字段，可以防止数据泄露时敏感信息被直接读取。以下是几种常用且有效的方法。
使用 AES_ENCRYPT 和 AES_DECRYPT 函数
MySQL 提供了内置的加密函数 AES_ENCRYPT() 和 AES_DECRYPT()，基于 AES 算法（默认 128 位密钥），适合对单个字段进行加解密。
示例：
1
2
3
4
5
6
— 插入加密数据
INSERT INTO users (name, phone)
VALUES (张三, AES_ENCRYPT(13800138000, your-secret-key));
<p>– 查询解密数据
SELECT name, AES_DECRYPT(phone, your-secret-key) AS phone
FROM users WHERE name = 张三;</p>
注意：返回的是二进制数据，建议字段类型设为 BLOB 或 VARBINARY，避免字符集问题。
应用层加密更安全
在应用程序中使用强加密算法（如 AES-256）加密数据后再存入数据库，是更推荐的做法。这样密钥不会暴露在 SQL 语句或数据库日志中。
常见做法：
使用语言级加密库（如 PHP 的 openssl_encrypt，Python 的 cryptography） 加密后将密文以 Base64 或十六进制字符串形式存入数据库 密钥由密钥管理系统（KMS）或环境变量管理，不硬编码优势：密钥与数据库分离，即使数据库被拖库，也无法轻易解密。
使用 MySQL 企业版透明数据加密（TDE）
MySQL 企业版支持表空间级别的透明数据加密（TDE），可自动加密整个表的数据文件，防止物理存储泄露。
启用方式（需配置）：
在 my.cnf 中启用 innodb_undo_log_encrypt 和 innodb_redo_log_encrypt 创建表时指定 ENCRYPTION=Y注意：TDE 保护的是静态数据，不加密内存或网络传输中的数据，且不针对特定字段。
密码字段应使用哈希而非加密
对于密码这类敏感信息，不应使用可逆加密，而应使用强哈希算法（如 bcrypt、scrypt、Argon2）。
MySQL 原生支持 SHA2：
1
2
INSERT INTO users (username, password_hash)
VALUES (user1, SHA2(user-password, 256));
但更推荐在应用层使用专用哈希库处理密码。
基本上就这些。核心原则是：敏感字段尽量在应用层加密，密钥独立管理，避免明文出现在数据库或日志中。MySQL 内置函数可用，但要注意密钥传递的安全性。
