PostgreSQL数据加密：pgcrypto与TDE的区别及GDPR合规性咨询

一、核心加密方式的本质区别 #

• TDE（透明数据加密）：属于存储层级加密，加密对象是整个数据库的物理数据文件（或指定表空间）。对应用层完全透明——应用不需要改任何代码，数据库在读写数据时自动完成加解密。核心作用是防止物理介质泄露风险，比如硬盘被盗、未授权的备份文件访问。
• pgcrypto：属于字段/应用层级加密，需要在SQL中显式调用加密函数（比如pgp_sym_encrypt()）加密特定字段，解密时也要用pgp_sym_decrypt()这类函数。可以精准控制哪些敏感数据加密，甚至能实现端到端加密（密钥由应用或外部密钥系统持有，数据库全程看不到明文）。

二、PostgreSQL官方为何不提TDE？ #

PostgreSQL社区版原生不支持TDE，你看到的配置方法（keystore_location、tablespace_encryption_algorithm配置项，pgx_set_master_key命令）属于第三方扩展（比如pg_tde）或商业发行版（比如EnterpriseDB的PostgreSQL商业版）的功能，并非官方核心特性，所以官方文档里不会收录这类内容。使用这类第三方方案前，要确认扩展的兼容性、维护状态和安全性。

三、pgcrypto能满足GDPR要求吗？ #

完全可以，但关键看怎么用：

• GDPR对加密的核心要求是对敏感个人数据提供适当的保护，pgcrypto通过字段级加密可以实现这一点，只要你正确加密了敏感字段（比如姓名、手机号、银行卡信息）。
• 额外注意：GDPR不止要求加密，还要配合完善的密钥管理（密钥不能存在数据库内，建议用专门的密钥管理系统）、访问控制、审计日志等措施，加密只是合规的其中一环。

四、两者怎么选？ #

• 若你需要防物理介质泄露，且不想修改现有应用代码，优先选择支持TDE的PostgreSQL商业版或成熟的第三方TDE扩展；
• 若你需要精细控制加密范围、实现端到端加密，或者使用的是社区版PostgreSQL，pgcrypto是更灵活且合规的选择，只要配置得当就能满足GDPR等合规要求。

内容的提问来源于stack exchange，提问作者Davide