MySQL如何对指定列加密？结合Hibernate @ColumnTransformer的密钥配置问题

1. 不推荐强行适配@ColumnTransformer #

@ColumnTransformer的设计逻辑就是编译期生成固定SQL模板，本身不支持传入动态运行时参数。
如果你硬要适配，唯一可行的思路是借助MySQL会话变量：每次获取数据库连接时先执行SET @aes_key = '动态拉取的密钥'，再把注解写成：

@ColumnTransformer(
  forColumn = "sensitive_col", 
  read = "AES_DECRYPT(sensitive_col, @aes_key)", 
  write = "AES_ENCRYPT(?, @aes_key)"
)

这个方案有两个不可接受的安全&功能缺陷：

• 连接池复用场景下，密钥轮换后旧连接的会话变量不会自动更新，会出现加解密不匹配的问题
• 密钥会明文出现在MySQL的慢查询日志、审计日志中，安全风险远高于硬编码
  因此完全不建议使用该方案。

2. 优先选择应用层加解密方案 #

你提到的「应用层完成加解密，加密后数据以varchar类型存MySQL」是目前业界的标准最佳实践，优势非常明显：

• 密钥全程只在应用侧内存中存在，不会泄露到数据库层，安全等级更高
• 加解密逻辑完全可控，可以自主选择安全性更高的加密模式（比如AES-GCM，比MySQL默认的ECB模式多了防重放、完整性校验能力），也能灵活适配密钥轮换、多密钥版本管理等需求
• 适配Hibernate非常简单，不需要修改数据库操作逻辑，只需要自定义JPA属性转换器即可

实现示例 #

首先自定义加解密属性转换器：

@Converter
public class SensitiveDataConverter implements AttributeConverter<String, String> {

    // 自行实现EncryptionService，内部封装从外部API拉取密钥、AES加解密的逻辑
    private final EncryptionService encryptionService = ApplicationContextHolder.getBean(EncryptionService.class);

    @Override
    public String convertToDatabaseColumn(String rawData) {
        return rawData == null ? null : encryptionService.encrypt(rawData);
    }

    @Override
    public String convertToEntityAttribute(String encryptedData) {
        return encryptedData == null ? null : encryptionService.decrypt(encryptedData);
    }
}

然后在实体类的敏感字段上绑定转换器即可：

@Column(name = "id_card", columnDefinition = "VARCHAR(255)")
@Convert(converter = SensitiveDataConverter.class)
private String idCard;

3. 注意事项 #

• 密钥拉取逻辑要加本地缓存，不要每次加解密都调用外部API，避免性能瓶颈，缓存过期时间和你的密钥轮换周期保持一致即可
• 加密后的数据转成Base64字符串存储即可，不需要用二进制字段，兼容性更好
• 优先选择AES-GCM加密模式，不要用安全性不足的ECB、CBC模式

内容的提问来源于stack exchange，提问作者Harshit Vijayvargia