mongodump输出流本身不加密，必须通过管道外接gpg或openssl实时加密；其--archive或--out生成的bson/json文件均为明文，含密码哈希、手机号等敏感字段，仅靠文件名或目录权限无法保障安全。
mongodump 输出流本身不支持加密，必须在管道外加一层加密处理。直接用 --archive 或 --out 生成的文件全是明文 BSON/JSON，连密码哈希、手机号字段都原样裸露，靠“改文件名”或“放私有目录”根本挡不住有权限的内部人员或入侵者。
为什么不能依赖 mongodump 自带加密选项
mongodump 没有 --encrypt、--password-protected 这类参数。官方明确不提供运行时加密能力——它只负责“结构化导出”，安全交由外部工具链补足。
- 所有输出（
.bson、.json、--archive二进制）均可被bsondump、jq、strings直接解析 -
--archive文件不是加密容器，只是把多个 BSON 流打包成单文件，xxd一扫就能看到字段名和部分值 - 试图用
mongodump ... | gzip也不行：gzip 压缩 ≠ 加密，解压后仍是明文
正确做法：用 openssl enc 或 gpg 实时加密 stdout
核心思路是让 mongodump 的输出不落地为明文，而是直连加密命令的标准输入，加密结果再写入文件。这样全程无临时明文备份文件。
- 用
openssl enc（系统普遍自带）：mongodump --uri "mongodb://user:pass@host/db" --archive | openssl enc -aes-256-cbc -pbkdf2 -iter 100000 -salt -out backup-$(date +%Y%m%d).archive.enc - 用
gpg（适合密钥管理场景）：mongodump --uri "mongodb://user:pass@host/db" --archive | gpg --cipher-algo AES256 --compress-algo 1 --symmetric --armor --output backup-$(date +%Y%m%d).archive.asc - 解密时必须用相同算法和密码：
openssl enc -d -aes-256-cbc -pbkdf2 -iter 100000 -in backup-20260512.archive.enc | mongorestore --archive --dryRun
密码管理比算法选择更重要
再强的 -aes-256-cbc 也扛不住弱口令。实际中常见三个坑：
- 脚本里硬编码密码：
openssl enc -pass pass:mypass123—— 密码会出现在ps aux和 shell history 中 - 用
-pass env:BACKUP_PASS但环境变量被子进程继承泄露 —— 改用-pass stdin，从cat ~/.backup-key | head -n1读取（该文件必须chmod 600） - 忽略盐值（
-salt）和迭代次数（-iter）：不加-salt会导致相同密码生成相同密文，易被彩虹表攻击；-iter 100000是当前防暴力破解的合理下限
别忘了校验 + 权限收紧，否则加密形同虚设
加密只是第一步。如果加密后的文件权限是 644，或放在 NFS 共享目录里，等于把锁好的保险箱钥匙挂在门把手上。
- 加密完成后立刻设权：
chmod 600 backup-20260512.archive.enc - 校验完整性（防止传输损坏）：
sha256sum backup-20260512.archive.enc > backup-20260512.archive.enc.sha256 - 验证解密流程是否可用（定期抽检）：
openssl enc -d -in backup-20260512.archive.enc -k "testpass" 2>/dev/null | head -c 100 | grep -q 'ns' && echo "OK"（检查 BSON 头部是否可解析）
最麻烦的不是选哪个加密命令，而是确保密码输入过程不被记录、加密文件不被误 chmod、解密脚本不把密钥 echo 出来——这些细节漏掉一个，前面所有加密操作就归零。
