tfsec误报AWS DynamoDB未启用静态加密？请协助确认

这确实是tfsec v1.28.6的检测规则缺陷，具体依据和分析如下：

核心事实 #

• AWS官方明确：DynamoDB所有用户数据默认已静态加密，无论是否显式配置加密参数，数据都会被加密。未指定自定义KMS密钥时，默认使用AWS管理的DynamoDB专用密钥（控制台显示为DEFAULT）。
• Terraform文档说明：当server_side_encryption.enabled设为false时，DynamoDB会采用AWS自有密钥完成加密，并非未加密状态。

检测规则问题 #

tfsec的这条高风险检测规则仅通过server_side_encryption.enabled是否为true来判定加密状态，完全忽略了DynamoDB默认加密的特性，误将使用AWS默认密钥的合规加密场景判定为“未启用表加密”的风险问题。

这类规则缺陷一般会在工具的后续版本中被修复，建议关注tfsec的版本更新。

内容的提问来源于stack exchange，提问作者mon