如何对Heroku托管的整个PostgreSQL数据库进行加密？

方案1：ORM层透明加密（最小代码/结构改动） #

• 利用Python ORM（如SQLAlchemy）的加密扩展，比如sqlalchemy-utils的EncryptedType，在模型定义中对敏感字段配置自动加密/解密逻辑。
• 优势：
  • 无需修改数据库字段类型（加密后数据以字符串形式存储在原有字段中），不用变更数据库结构。
  • 后端代码改动集中在模型层，业务逻辑无需大量调整，解密操作由ORM自动完成，不用在客户端前手动处理。
  • 可通过脚本批量加密现有未加密数据，迁移过程平滑，旧数据仍可正常访问。
• 操作示例：

  from sqlalchemy_utils import EncryptedType
  from sqlalchemy import Column, Integer, String, create_engine
  from sqlalchemy.ext.declarative import declarative_base
  from sqlalchemy.orm import sessionmaker
  
  Base = declarative_base()
  # 密钥通过Heroku环境变量加载，避免硬编码
  SECRET_KEY = bytes(os.getenv('ENCRYPTION_KEY'), 'utf-8')
  
  class User(Base):
      __tablename__ = 'users'
      id = Column(Integer, primary_key=True)
      # 对email字段做透明加密，存储为String类型
      email = Column(EncryptedType(String, SECRET_KEY))
  
  # 批量迁移旧数据脚本示例
  engine = create_engine(os.getenv('DATABASE_URL'))
  Session = sessionmaker(bind=engine)
  session = Session()
  for user in session.query(User).all():
      # 重新赋值触发ORM自动加密
      user.email = user.email
      session.add(user)
  session.commit()
  

方案2：加密代理层（完全透明的应用级加密） #

• 在Python应用与Heroku PostgreSQL之间部署数据库加密代理（如pgcrypt-proxy类工具），代理负责拦截所有SQL请求，自动加密写入数据、解密读取数据。
• 优势：
  • 完全无需修改应用代码和数据库结构，对应用层完全透明。
  • 现有数据可通过代理批量加密，无需手动处理。
• 注意：需额外部署代理服务（可通过Heroku Dyno或第三方容器服务），会增加少量延迟，需评估性能影响。

方案3：Heroku Postgres静态加密+字段级加密补充 #

• Heroku Postgres所有层级默认都提供静态数据加密（数据在磁盘上自动加密），若你的需求仅为防止物理磁盘泄露，该默认加密已足够。
• 若需应对数据库内部访问风险，可结合方案1的ORM加密，在静态加密基础上增加字段级加密，兼顾安全性和开发成本。

方案4：迁移至支持客户密钥加密的低成本托管服务 #

• 如果Heroku Private Shield成本过高，可考虑将数据库迁移到其他支持客户管理密钥（CMK）的云托管PostgreSQL服务（如AWS RDS、GCP Cloud SQL），这些服务通常有更低成本的层级支持CMK加密，同时兼容现有Python应用代码。
• 优势：无需大量代码改动，就能获得整库级的客户可控加密。
• 注意：迁移前需做好数据备份，确保业务连续性。

内容的提问来源于stack exchange，提问作者Or Nakash