Navicat Premium 本身不支持跨网络隔离环境的加密备份导出；所谓“加密备份”仅为本地文件加密封装，无法解决跨网段可信分发问题，.ncb格式未公开加密机制、不支持自定义密钥或KMS集成，且依赖外联云服务，故不可用于隔离网环境。
Navicat Premium 本身不支持“跨网络隔离环境”的加密备份导出——它没有内置的端到端加密传输通道，也不提供可验证、可审计的密钥管理机制。所谓“加密备份”，实际只是本地文件加密封装，无法解决跨网段可信分发问题。
为什么「导出为 .ncb」不能用于跨隔离网环境
Navicat Premium 16+ 提供的 .ncb（Navicat Cloud Backup）格式，仅设计用于上传至官方 Navicat Cloud 服务。该格式：
- 加密逻辑未公开，无标准密钥导出接口
- 本地无法解密验证内容完整性（官方明确不提供 CLI 解包工具）
- 不支持指定自定义密钥或 KMS 集成
- 若网络策略禁止外联（如金融/政务内网），.ncb 文件根本无法生成或上传
真正能落地的跨网隔离备份方案：用 mysqldump + 离线介质 + GPG
当目标是“从生产网段导出、经审批摆渡、在预发网段恢复”时，必须绕过 Navicat 的 GUI 封装，改用命令行组合：
- 在源数据库服务器上执行 mysqldump，输出 SQL 文件
- 立即用 gpg --symmetric --cipher-algo AES256 加密（密码由专人线下传递）
- 将加密后的 .sql.gpg 文件拷贝至 U 盘/光盘/摆渡机，物理转移
- 在目标环境用 gpg --decrypt 解密后导入（mysql 或 navicat 导入向导）
关键点：
- mysqldump 必须加 --single-transaction --routines --triggers --default-character-set=utf8mb4，否则恢复时可能丢过程或乱码
- 不要依赖 Navicat 的「导出向导」生成压缩包——它不加密，且含连接元信息（IP/端口），违反隔离原则
- GPG 密码严禁写入脚本或配置文件，必须人工输入
若必须用 Navicat 触发，只能导出结构+数据，不导出连接与凭证
Navicat 唯一合规的跨网操作是：
- 使用「工具 → 数据传输」或「数据库 → 备份」功能，导出为 .sql 或 .sql.gz
- 明确取消勾选「包含连接信息」「保存密码」「导出用户权限」等选项
- 导出前确认「高级」页中未启用 SSH 隧道或 SSL 证书路径（这些字段会泄露内网拓扑）
常见错误：
- 导出时勾选「导出为 Navicat 备份（.nbk）」——这是二进制格式，含内部结构头，无法被其他工具解析，且加密密钥绑定本机
- 用「文件 → 导出连接」误以为能导出备份——它只导出连接配置，和数据备份无关
- 在隔离网内双击运行 Navicat 自动更新检查，触发外联请求，违反安全策略
最易被忽略的细节是：Navicat 导出的 SQL 文件默认不带 SET NAMES 和 CREATE DATABASE 语句，直接导入可能因字符集或库不存在而失败；必须手动补全，或在导出时勾选「添加 CREATE DATABASE 语句」和「导出前设置字符集」。
