正确做法是用管道串联 mysqldump、gzip 和 openssl，实现流式压缩加密：mysqldump -u root db | gzip | openssl enc -aes-256-cbc -pbkdf2 -iter 100000 -salt -out backup.sql.gz.enc。
用 gzip 压缩 SQL 备份文件时，别直接压缩 mysqldump 输出的临时文件
直接生成大 SQL 文件再压缩，既占磁盘又慢。正确做法是用管道把 mysqldump 和 gzip 串起来，边 dump 边压。
- 错误写法：
mysqldump -u root db > backup.sql && gzip backup.sql—— 中间产生未压缩的几 GB 文件 - 正确写法：
mysqldump -u root db | gzip > backup.sql.gz—— 内存流式处理，不落地大文件 -
gzip默认压缩级别是 6；想更快可加-1（快但体积大），想更小可加-9（慢但压缩率高） - 如果导出含中文或特殊字符，确保终端和 MySQL 连接都用了
--default-character-set=utf8mb4，否则gzip不报错但解压后可能乱码
用 openssl enc 加密备份文件，必须指定 cipher 并避免默认弱参数
openssl enc 不设密码会静默失败，不指定加密算法则用过时的 des（已不安全），而且默认不加 salt —— 这三点最容易踩坑。
- 别用：
openssl enc -aes-256-cbc -in backup.sql.gz -out backup.sql.gz.enc—— 没-salt、没-pbkdf2、没指定迭代次数，密钥派生太弱 - 推荐写法：
mysqldump -u root db | gzip | openssl enc -aes-256-cbc -pbkdf2 -iter 100000 -salt -out backup.sql.gz.enc - 执行时会交互输入密码；如需脚本化，请用
-pass env:BACKUP_PASS+export BACKUP_PASS="xxx"，但注意环境变量可能被ps看到 -
-aes-256-cbc是目前较稳妥的选择；-aes-256-gcm更好但 OpenSSL 版本要 ≥1.1.1，老系统慎用
解密 + 解压要严格按相反顺序，且 openssl 错误输出容易被忽略
加密是 dump → gzip → openssl，解密就得反过来：openssl → gunzip → mysql。中间任意一步出错，后续命令收不到数据，但不会报明显错误。
- 典型失败现象：
gunzip: stdin: not in gzip format—— 实际是openssl解密失败，输出了乱码而非 gzip 流 - 安全做法：先单独测试解密：
openssl enc -d -aes-256-cbc -pbkdf2 -iter 100000 -salt -in backup.sql.gz.enc | head -c 100，看是否输出 SQL 开头（如-- MySQL dump） - 恢复时建议分步：
openssl ... | gunzip | mysql -u root db；不要省略gunzip直接喂给mysql，否则导入空数据还不报错 - OpenSSL 1.1.1+ 支持
-md sha256显式指定摘要算法，旧版本默认用 md5，若跨平台传输要注意兼容性
管道里混用加密和压缩，gzip 的 -c 和 openssl 的 -d 别漏写
所有环节都在管道里，每个命令的输入输出方向必须明确。漏一个 -c 或 -d，整个链就断了，而且往往静默失败。
-
gzip默认是文件模式，管道中必须用-c（等价于--stdout）确保输出到 stdout；gunzip同理 -
openssl enc -d缺失会导致加密流直接传给gunzip，后者报错退出，但上游mysqldump可能已结束，你只看到 “broken pipe” 而不是真正原因 - 完整可靠的一行恢复命令：
openssl enc -d -aes-256-cbc -pbkdf2 -iter 100000 -salt -in backup.sql.gz.enc | gunzip -c | mysql -u root db - 如果备份文件在远程服务器上，别用
scp下来再解——直接ssh user@host 'cat backup.sql.gz.enc' | openssl ... | gunzip | mysql，减少中间落盘
实际用的时候，cipher 参数、PBKDF2 迭代次数、是否加 salt，这三项一旦定下来就得记牢。换环境重装 OpenSSL 或升级系统后，旧备份可能无法解密，不是密码错了，是默认参数变了。
