服务器文件加密需分层级选方案：windows用ntfs+efs，linux按需选ecryptfs/luks，配置文件用openssl加密，云文件用cryptomator/rclone客户端加密，禁用伪加密。
服务器上的文件加密不是“加个密码就完事”，关键在选对层级、配好策略、避开常见陷阱。加密必须和权限控制、密钥管理、访问场景匹配，否则可能白忙一场甚至引入新风险。
NTFS下用EFS加密文件与文件夹
EFS是Windows Server原生方案，适合单机或域内小范围敏感文档保护，但仅限NTFS卷且依赖用户证书。
- 加密单个文件：右键→属性→高级→勾选“加密内容以便保护数据”→应用时选“只加密文件”
- 加密整个文件夹：同样路径勾选加密，应用时选“将更改应用于此文件夹、子文件夹和文件”——此后新增文件自动加密
- 注意：复制到FAT32/U盘/网络共享（非NTFS）会自动解密；压缩与加密互斥，系统会强制解压或解密
- 务必提前备份EFS证书，否则重装系统或用户配置损坏后，加密文件永久不可恢复
Linux下分场景选加密方式
Linux不靠单一工具，而是按需求分层解决：文件级轻量、分区级平衡、全盘级强防护。
- 临时敏感目录（如日志缓存）：用eCryptfs挂载加密目录，命令简单，支持按用户隔离，但性能开销约15–20%
- 独立数据分区（如/home或/data）：用LUKS加密整块设备，安装时启用最稳妥；已运行系统可离线加密，但需备份+重启输入密码
- 根分区全盘加密：安全性最高，但服务器无IPMI/VNC时，每次重启需人工输密，不适合无人值守环境
- 切记：/boot不能加密，否则系统无法引导；LUKS密钥建议用USB密钥+密码双因子，避免纯口令泄露即失守
配置文件这类文本要单独加固
FastDFS、Nginx、数据库等服务的conf文件含IP、端口、路径、账号，明文存放等于把钥匙挂在门上。
- 不推荐手动改权限（如chmod 600），治标不治本；应使用OpenSSL AES-256-CBC加密文件本身
- 示例脚本：用openssl enc -aes-256-cbc -salt -in storage.conf -out storage.conf.enc生成加密版
- 服务启动前用脚本解密到内存临时路径（如/run/fdfs-conf），再由进程读取，确保磁盘不留明文
- 密钥严禁硬编码进脚本，应通过环境变量或专用密钥管理服务（如HashiCorp Vault）注入
云同步与共享文件的加密逻辑
上传到OSS、S3或网盘的文件，不能只靠服务商的“传输中加密”，必须自己做客户端加密。
- 个人/小团队：用Cryptomator或CryFS创建加密保险柜，挂载为本地盘，所有写入自动加密，同步的是密文
- 企业级自动化：用rclone的crypt后端，配置远程存储时内置加密，支持文件名+内容双重加密，还能配合password2加盐防彩虹表
- 对外共享文件：别发原始加密包，用带水印、限时、禁截图的外发网关（如洞察眼MIT），控制的是行为，不只是数据
- 警惕“伪加密”：某些网盘“私密链接”只是隐藏URL，未加密内容，仍可被暴力遍历或内部人员导出
