基于Java与PostgreSQL的客户端加密低侵入实现方案咨询

方案1：基于jOOQ自定义Converter/Binding实现应用层加密（侵入性最低） #

• 核心思路：利用jOOQ原生的类型转换能力，将加密/解密逻辑完全封装在jOOQ的代码生成层，上层DAO、业务代码无需任何修改
• 实现步骤：
  1. 针对需要加密的敏感列所属的自定义数据类型，编写对应的Converter，实现双向转换逻辑：写库时将明文自定义类型值加密后编码为和原列类型兼容的格式（如Base64字符串，只要原自定义类型支持接收该编码后的值即可），读库时将读取到的加密编码值解密后转回原自定义类型
  2. 在jOOQ的代码生成配置中，指定对应敏感列使用你编写的Converter，重新生成jOOQ表结构类即可
• 适配优势：完全不需要修改现有DAO代码、不需要修改数据库表结构，加密逻辑统一管控，还可以结合租户ID作为加密盐实现租户隔离，完全匹配你的需求

方案2：PostgreSQL 触发器+自定义类型隐式转换实现数据库层加密 #

• 核心思路：不需要修改现有列类型，通过触发器和自定义函数实现加密/解密逻辑的透明处理
• 实现步骤：
  1. 为每个需要加密的自定义类型编写对应的加密/解密函数，函数内部完成加密后直接返回原自定义类型（如果加密后的bytea无法直接匹配，可以先编码为兼容原类型的文本格式再做类型转换）
  2. 为敏感列所在的表编写BEFORE INSERT/UPDATE触发器，触发时自动调用加密函数替换明文值
  3. 编写对应表的SELECT视图，视图中自动调用解密函数将加密列转回明文，应用层直接查询视图即可
• 适配优势：应用侧代码改动极小，只需要将原表查询替换为视图查询即可，不需要修改DAO的核心逻辑

方案3：JDBC层代理拦截实现透明加密 #

• 核心思路：在JDBC驱动层做拦截，统一处理敏感列的加解密，上层所有代码（包括jOOQ、DAO层）完全无感知
• 实现步骤：
  1. 基于JDBC驱动封装代理层，或者使用成熟的JDBC拦截框架，配置拦截规则：匹配指定表的指定列的写入、查询请求
  2. 在拦截逻辑中实现加解密处理：写入时自动加密明文值，查询时自动解密密文值
• 适配优势：完全不需要修改现有业务代码、不需要修改数据库结构，适配成本最低，加密逻辑和业务完全解耦

补充方案：现有视图思路的优化 #

不需要单独新建数据库，可以直接在原有数据库实例中新增加密列，将原有明文列数据加密后迁移到新的加密列，再删除原有明文列，最后建同名视图映射解密后的列值，原有SQL语句完全不需要修改，侵入性也很低。

内容的提问来源于stack exchange，提问作者jban