gpg加密mysql dump文件需权衡必要性：本地安全可用chmod/chown，跨环境传输才需gpg；应管道流式加解密、严格密钥管理、规避密码明文与临时文件风险。
用 gpg 加密 MySQL dump 文件前，先确认是否真需要它
MySQL 自身不提供对备份文件的透明加密，mysqldump 输出的是纯文本 SQL。如果你的备份要落盘到共享存储、上传到对象存储（比如 S3）、或交由第三方托管，那 gpg 是目前最轻量且被广泛验证的二次加密手段。但别一上来就加——如果备份只存在本地 root 权限可读的目录，chmod 600 + chown mysql:mysql 可能比 GPG 更简单有效。
常见错误现象：gpg: signing failed: Inappropriate ioctl for device，通常是因为非交互环境下缺少 GPG_TTY 设置；还有人把加密后的 .sql.gpg 当成普通 SQL 直接 mysql ，结果报错 <code>Unknown command '\''。
- 加密不是银弹：它防不了运行时内存泄露、数据库连接中间人、或已授权用户的误操作
- 密钥管理比加密本身更关键：私钥一旦丢失，备份等于报废；不要用密码短语太弱的
--passphrase，更不要硬编码在脚本里 - 优先用非对称加密（
--encrypt --recipient）而非对称（--cipher-algo AES256 --symmetric），前者便于多角色解密权限控制
mysqldump 管道直连 gpg 避免明文落地
最危险的操作是先生成 backup.sql，再执行 gpg -c backup.sql —— 中间文件可能被临时缓存、日志记录、或未及时清理。正确做法是管道流式加密：
mysqldump -u root -p'secret' --all-databases | gpg --encrypt --recipient 'admin@company.com' > backup_$(date +%F).sql.gpg
使用场景：定时备份脚本、CI/CD 归档流程、容器内一次性导出。
- 必须加
--no-tty和GPG_TTY=$(tty)（若在 cron 或 systemd 里运行），否则卡住 - 如果收件人公钥没导入，会报错
gpg: <keyid>: There is no assurance this key belongs to the named user</keyid>，此时需先gpg --import admin.pub.asc -
gpg --list-keys要能查到对应 UID，且状态为pub rsa4096/ABC123... 2022-01-01 [SC]，否则加密失败
解密还原时，gpg 和 mysql 的衔接要点
解密不能只靠 gpg -d backup.sql.gpg > restore.sql 再手动导入，容易中断、残留临时文件。推荐直接管道还原：
gpg --decrypt backup_2024-06-15.sql.gpg | mysql -u root -p'secret'
性能影响很小，GPG 解密是 CPU 密集型但通常快于磁盘 IO；兼容性上注意：MySQL 8.0+ 默认禁用 LOCAL INFILE，而某些 dump 含 LOAD DATA INFILE，这时得加 --local-infile=1 参数并确保服务端也开启。
- 如果私钥有密码，命令行会阻塞等待输入——在自动化流程中必须用
gpg-preset-passphrase预载或改用--batch --pinentry-mode loopback（需提前配置gpg-agent） - 遇到
ERROR 1064 (42000)，大概率是解密失败导致 SQL 前几行变成乱码，用head -n 5 backup.sql.gpg | strings快速判断是否真加密成功 - 别忽略字符集：
mysqldump --default-character-set=utf8mb4和mysql --default-character-set=utf8mb4必须一致，否则中文变问号
备份归档链路中 GPG 容易被绕过的三个盲点
加密只保护静态文件，整个链路还有三处常被忽略：
- dump 过程中，
mysqldump命令里的密码会出现在ps aux和 shell 历史中，应改用~/.my.cnf并设chmod 600 - 如果用
systemd-tmpfiles或logrotate处理备份，它们可能在压缩/轮转时解密后写入临时路径，留下明文副本 - GPG 公钥服务器（如 keys.openpgp.org）同步的公钥不含 UID 验证，攻击者可伪造同名 key 诱骗你加密给错误接收方；生产环境应离线交换并指纹校验
真正难的从来不是加解密命令敲对，而是让密钥生命周期、权限边界、和上下游工具链都对齐加密意图。一个没签名的 .sql.gpg 文件，跟没加密差不多。
