如何复制不含客户数据的MySQL（AWS RDS）生产数据库用于测试？

核心原则 #

严格遵循「真实客户数据绝不离开生产网络」的要求，通过生产快照→生产内网过渡库→脱敏清理→测试库的流水线，实现测试环境与生产环境结构完全一致，但所有敏感数据替换为合法测试数据。

分步实施 #

1. 搭建生产内网的过渡库（数据不流出生产） #

• 用AWS RDS的手动快照功能，给生产库创建快照（如果生产库已加密，快照需选择加密，使用生产环境的KMS密钥）。
• 基于该快照，在生产VPC的私有子网内创建过渡RDS实例——这个实例完全隔离在生产内网，安全组仅开放给运维IP或后续自动化脚本，测试环境无法直接访问。

2. 在过渡库完成数据脱敏（安全处理真实数据） #

过渡库处于生产内网，真实客户数据未离开生产环境，可放心执行以下操作：

• 替换未加密敏感字段：用MySQL语句直接生成测试数据，示例：

  -- 替换客户姓名
  UPDATE customers SET name = CONCAT('TestUser_', FLOOR(RAND()*10000)) WHERE id > 0;
  -- 替换客户邮箱
  UPDATE customers SET email = CONCAT('test_', FLOOR(RAND()*10000), '@test-domain.com');
  -- 替换银行账户（生成符合格式的随机数）
  UPDATE customers SET bank_account = CONCAT('6228', LPAD(FLOOR(RAND()*1000000000000), 12, '0'));
  

• 处理加密敏感字段：如果是应用层加密，先在过渡库用生产密钥解密（仅内存操作，不落地明文），替换为测试数据后再用测试环境的密钥重新加密；如果是RDS透明加密，直接替换字段值即可，加密由RDS自动处理。
• 清理冗余数据：删除不必要的历史客户数据，仅保留满足测试需求的样本量，减少后续迁移开销。

3. 把脱敏后的库迁移到测试环境 #

• 给脱敏完成的过渡库创建新快照，此时快照内已无真实客户数据。
• 若测试环境在同一个AWS账户，直接在测试VPC内基于该快照创建测试RDS实例；若跨账户，将快照共享给测试账户后再部署测试实例。
• 验证：检查测试库的表结构、索引、存储引擎与生产一致，且所有敏感字段均为测试数据。

4. 自动化定期同步 #

用AWS工具链实现全流程自动化，无需手动操作：

• 用CloudWatch Events定时触发Lambda函数：
  1. Lambda调用RDS API为生产库创建快照。
  2. 创建过渡实例，执行预存在Secrets Manager中的脱敏SQL脚本。
  3. 脱敏完成后，创建过渡库快照、销毁过渡实例，最后在测试环境部署新的测试库。
• 权限控制：给Lambda配置最小权限，仅允许其操作RDS快照与实例；密钥存储在Secrets Manager中，绝不硬编码。

合规必查点 #

• 过渡库必须部署在生产VPC私有子网，安全组严格限制访问，禁止测试环境网络接入。
• 生产环境的KMS密钥绝不用于测试环境，测试库加密使用独立的测试环境KMS密钥。
• 开启RDS审计日志，记录过渡库的所有数据修改操作，确保过程可追溯。

内容的提问来源于stack exchange，提问作者Nikhil Agarwal