求兼容复杂SP、Spring应用的SQL Server跨平台加密方案（适配AWS）

嘿Abdul，咱们来拆解你的SQL Server加密需求，找到完全适配的方案——兼容复杂存储过程、跨Windows/Linux平台，还要适配AWS环境。我之前帮不少团队解决过类似问题，给你几个可行的方向：

你完全不用把密码短语硬编码在JPA实体里！结合Spring生态和AWS的工具，我们可以动态管理密钥：

• 用AWS Secrets Manager存储你的加密密码短语，Spring应用通过AWS SDK或者Spring Cloud AWS组件拉取密钥，示例代码如下：

  @Service
  public class EncryptionKeyService {
      private final AWSSecretsManager secretsManager;
  
      // 构造函数注入AWS Secrets Manager客户端（可通过Spring Cloud自动配置）
      public EncryptionKeyService(AWSSecretsManager secretsManager) {
          this.secretsManager = secretsManager;
      }
  
      public String getEncryptionPassphrase() {
          GetSecretValueRequest request = new GetSecretValueRequest()
              .withSecretId("sql-server/column-encryption-passphrase");
          GetSecretValueResult result = secretsManager.getSecretValue(request);
          return result.getSecretString();
      }
  }
  

• 在JPA调用时，把密钥作为参数传递，而非硬编码在@Query中：

  @Query(value = "SELECT CONVERT(VARCHAR(MAX), DecryptByPassPhrase(:passphrase, encrypted_column)) FROM your_table WHERE id = :id", nativeQuery = true)
  String getDecryptedColumn(@Param("passphrase") String passphrase, @Param("id") Long id);
  

• 对于存储过程，直接将密码短语作为SP的参数传入，在SP内部使用即可。这样不仅避免了硬编码，还能通过Secrets Manager轻松实现密钥轮换，安全性大幅提升。

如果想彻底摆脱密码短语的管理，同时满足所有约束，推荐使用SQL Server的列级加密+AWS KMS方案：

核心优势 #

• 完全支持复杂SP中的LIKE、SUBSTRING等操作：解密在数据库端执行，只要调用SP的用户拥有密钥权限，所有SQL函数都能正常使用。
• 跨平台兼容：SQL Server 2017及以上版本的Windows/Linux发行版都支持集成AWS KMS。
• AWS原生适配：密钥托管在AWS KMS中，不用在应用或数据库端硬编码，密钥轮换、权限管控全由KMS负责，安全性拉满。

简单实现步骤 #

1. 在AWS KMS中创建一个非对称密钥对（用于保护SQL Server的对称密钥）。
2. 在SQL Server中创建关联KMS的非对称密钥：

   CREATE ASYMMETRIC KEY SqlServerKmsKey
   FROM PROVIDER AWS_KEY_MANAGEMENT_SERVICE
   WITH PROVIDER_KEY_NAME = 'arn:aws:kms:us-east-1:123456789012:key/your-kms-key-id',
        CREATION_DISPOSITION = OPEN_EXISTING;
   

3. 创建由KMS密钥保护的对称密钥（用于实际加密列）：

   CREATE SYMMETRIC KEY ColumnEncryptionSymKey
   WITH ALGORITHM = AES_256
   ENCRYPTION BY ASYMMETRIC KEY SqlServerKmsKey;
   

4. 加密目标列：

   ALTER TABLE your_table
   ADD encrypted_column VARBINARY(MAX) NULL;
   
   UPDATE your_table
   SET encrypted_column = EncryptByKey(Key_GUID('ColumnEncryptionSymKey'), plaintext_column);
   

5. 在存储过程中解密使用（支持所有SQL操作）：

   CREATE PROCEDURE GetFilteredData
   @filter VARCHAR(100)
   AS
   BEGIN
       -- 打开对称密钥（自动通过KMS解密）
       OPEN SYMMETRIC KEY ColumnEncryptionSymKey
       DECRYPTION BY ASYMMETRIC KEY SqlServerKmsKey;
   
       -- 直接对解密后的数据执行LIKE、SUBSTRING等操作
       SELECT CONVERT(VARCHAR(MAX), DecryptByKey(encrypted_column)) AS plaintext_column
       FROM your_table
       WHERE CONVERT(VARCHAR(MAX), DecryptByKey(encrypted_column)) LIKE '%' + @filter + '%';
   
       -- 关闭密钥
       CLOSE SYMMETRIC KEY ColumnEncryptionSymKey;
   END;
   

我个人首推列级加密结合AWS KMS，它完美覆盖你的所有需求：复杂SP无限制、跨平台兼容、AWS原生集成，而且密钥管理完全不用操心，是最省心的生产级方案。

内容的提问来源于stack exchange，提问作者abdul samad