首选cryptomator：开源可审计、客户端本地aes-256加密、挂载为虚拟盘实现编辑无感；需整体移入项目文件夹确保.git加密，关闭前须退出ide防锁 vault。
你需要为开发团队选一款开源文件加密软件，既要保障源码在本地编辑时完全透明无感，又要确保代码一旦离开内网就立即失效、无法被非法打开——这要求软件必须同时满足开源可审计、内核级透明加密、细粒度权限控制三个硬性条件。
首选开源方案：Cryptomator + 自建策略补全
开源可信度最高的是 Cryptomator，它采用客户端本地加密、零知识架构，所有密钥由用户自己掌控，不依赖任何中心化服务。但它原生不支持透明加密（即不能像商业软件那样自动加解密正在编辑的 .java/.py 文件），必须通过组合策略补足。
第一步：下载并安装 Cryptomator 1.15.3 或更高版本（截至2026年8月最新稳定版）→ 启动后点击「New Vault」创建保险库 → 选择一个空文件夹作为 vault 根目录，设置强密码并确认。
第二步：把所有待保护的源码项目统一移入该 vault 文件夹内。注意：必须是整个项目文件夹整体拖入，不要只放 .java 单个文件——否则 Git 仓库元数据（.git 目录）可能未被加密，导致提交历史泄露关键路径信息。
第三步：双击 vault 打开后，系统会挂载为一个虚拟磁盘（如 D:\Cryptomator），此时所有读写操作均实时 AES-256 加密/解密。开发工具（IDEA、VS Code）可直接打开该盘符下的项目，编辑保存全程无感知。
第四步：关闭 vault 前务必确认 IDE 已完全退出、无后台编译进程残留。否则可能出现文件句柄未释放，导致下次挂载时报错「vault locked」——这是 Cryptomator 的安全机制，不是故障。
替代方案：VeraCrypt 搭配脚本自动化
如果你需要加密整个开发环境（含 IDE 配置、本地 Maven 仓库、甚至数据库快照），VeraCrypt 是更底层的选择。它能创建加密卷并映射为盘符，但默认不支持按文件类型自动触发加解密。
方法一：手动挂载+开发约定
安装 VeraCrypt 1.26.7 → 创建加密卷（推荐使用 AES-Twofish-Serpent 级联算法+SHA-512）→ 格式化为 NTFS → 挂载为固定盘符（如 E:）→ 所有源码、构建产物、日志全部存入该盘符。此方式完全开源可控，但要求全员遵守“不把代码存到非加密盘”的纪律。
方法二：配合 PowerShell 脚本实现半自动拦截
编写一个监控脚本，用 【FileSystemWatcher】 实时扫描 C:\dev\src 目录下新增的 .java/.py/.go 文件，一旦发现，自动调用 VeraCrypt 命令行接口（vcrypt.exe /q /m E: /p "xxx"）挂载加密卷，并将新文件移动过去。该脚本需以管理员权限常驻运行，否则无法拦截 Explorer 外部拖拽行为。
慎用但可验证的轻量选项：7-Zip + Makefile 集成
这不是传统意义的“透明加密”，而是面向 CI/CD 流程的代码交付加密。适合仅需保护外发包、不干预日常开发的场景。
在项目根目录放置 build-secure.zip.sh 脚本，内容为：7z a -p"$(cat .key)" -mem=AES256 -r release-$(date +%Y%m%d).zip src/ *.md。每次执行 make secure 时，自动用 Git 仓库中受控的 .key 文件加密打包。
注意：.key 文件本身不能提交进 Git，必须由 Jenkins 凭据管理器注入，或从 HSM 设备动态获取。若误将 .key 提交，等于主动交出所有加密包的钥匙。
这一步做完后，加密包已生成，可直接上传至客户 FTP 或邮件发送。
