mysql 8.0 启用 innodb 表空间 tde 需同时满足版本支持、keyring_file 插件正确加载、表空间为独立表空间三条件；否则 encryption='y' 无效，.ibd 文件仍明文。
MySQL 8.0 中启用 InnoDB 表空间 TDE 不是改个配置重启就行的事——必须确认版本支持、插件加载成功、表空间满足条件，三者缺一不可；否则 ENCRYPTION='Y' 只是语法通过，.ibd 文件依然明文落盘。
确认 MySQL 是否真支持 TDE（不是所有 8.0 都行）
社区版默认不带 TDE，企业版或特定编译的社区版才可能支持。不能只看 SELECT VERSION(); 返回 8.0.34 就以为万事大吉：
- 执行
SELECT * FROM information_schema.INNODB_ENCRYPTION;—— 若报错Table 'information_schema.INNODB_ENCRYPTION' doesn't exist，说明二进制未编译innodb_encrypt_tables，TDE 根本不存在 - 检查系统变量：
SHOW VARIABLES LIKE 'innodb_encrypt%';，若无任何输出，也表明不支持 - 企业版用户请核对官网发行说明中该小版本是否明确标注支持 TDE；社区版用户建议直接使用官方 MySQL 8.0.34+ 企业试用版验证
keyring_file 插件加载失败的三个硬性卡点
插件状态为 DISABLED 或查不到，是生产环境最常卡住的环节，不是配置漏了，而是细节错了：
-
early-plugin-load=keyring_file.so必须写在[mysqld]段最开头，且不能带路径（/usr/lib/mysql/plugin/keyring_file.so会直接导致 mysqld 启动失败） -
keyring_file_data=/var/lib/mysql-keyring/keyring对应的目录需由mysql用户完全拥有，权限严格为700；755或777均会触发Plugin 'keyring_file' init function returned error - 该路径不能位于
tmpfs、NFS、/run或 SELinux/AppArmor 限制区域；CentOS/RHEL 上常见被拦截，可用ausearch -m avc -ts recent查拒因 - 启动前务必清空旧密钥文件：
rm -f /var/lib/mysql-keyring/keyring，MySQL 会在首次启动时自动创建并初始化
让一张 InnoDB 表真正加密的实操路径
ALTER TABLE t1 ENCRYPTION='Y' 不是加个标记，而是触发全表重建（ALGORITHM=COPY），老数据不会自动重写：
- 先确认表用独立表空间：
SHOW CREATE TABLE t1;中必须含TABLESPACE = innodb_file_per_table或无显式TABLESPACE；若为共享表空间（ibdata1），需先执行ALTER TABLE t1 TABLESPACE=innodb_file_per_table; - 执行
ALTER TABLE t1 ENCRYPTION='Y';—— 单引号不能省，值只能是'Y'或'N'，ON/TRUE会报错ERROR 1064 - 验证是否生效：
SELECT NAME, ENCRYPTION_TYPE FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME LIKE '%t1%';，返回AES才算成功 - 注意：重建期间锁表，磁盘需预留 ≥1.5 倍原表空间，否则报错
ERROR 1767 (HY000): Failed to initialize tablespace
日志和 binlog 默认不加密，这点极易被忽略
TDE 只管 .ibd 数据页，其他关键静态文件仍是明文：
-
ib_logfile*（redo log）需额外开启：innodb_redo_log_encrypt=ON（MySQL 8.0.17+ 支持） -
binlog加密需配：binlog_encryption=ON（同样要求 8.0.17+）；但开启后主从复制有兼容风险——旧从库无法解析加密 binlog - 临时表、undo log、查询缓存、客户端传输过程均不加密，这些必须靠 SSL/TLS、OS 层权限控制、列加密等补足
- 加密后的表空间无法降级到不支持 TDE 的版本；备份恢复也必须在同版本 + 同 keyring 环境下进行
真正难的不是敲出那条 ALTER TABLE ... ENCRYPTION='Y'，而是确保密钥环能稳住、表空间结构合规、磁盘空间够用、日志链路没遗漏——任何一个环节断掉，加密就只是幻觉。
