Windows下PostgreSQL静态加密时initdb无-K选项问题咨询

• 你参考的那份说明文档来自PostgreSQL社区早年的透明磁盘加密POC试验，对应的-K参数属于未合并的实验分支功能，从来没有进入任何正式发布的PostgreSQL版本代码。官方发行版的initdb工具本身就不存在这个参数定义，执行时提示非法参数是完全符合逻辑的结果。
• 命令里引用的my_pwd_command.sh是Linux shell脚本，Windows原生环境没有自带对应的执行解释器，就算参数合法，在Windows上也跑不通密钥读取的流程。
• 目前公开发布的所有Windows版PostgreSQL正式安装包，都没有内置这类实验性加密逻辑，不存在支持-K参数的官方发行版本。

操作系统层块级加密（性能损耗极低，对数据库完全透明） #

• 启用Windows BitLocker：把PostgreSQL数据目录所在的NTFS分区打开BitLocker全量加密，加密逻辑由操作系统内核直接处理，PostgreSQL不需要改任何配置，稳定性和性能表现是所有方案里最好的。注意要配置好加密卷的自动解锁策略，避免系统重启后数据库服务加载不到数据卷。
• 开源磁盘加密适配：如果所用的Windows版本不支持BitLocker，可以用VeraCrypt这类开源工具创建独立的加密虚拟磁盘，把PostgreSQL的数据目录迁到这个加密磁盘里运行，实现一样的静态加密效果。

文件系统级加密（不需要整盘加密，灵活度高） #

• 启用NTFS自带的EFS加密文件系统：直接给PostgreSQL数据目录下的所有文件、子目录开启EFS加密，只有持有对应加密证书的系统账号才能读取目录内的数据库文件。注意必须离线备份好EFS加密证书，一旦证书丢失，加密后的数据库文件会永久无法解析。

数据库层扩展加密（无版本兼容问题） #

• pgcrypto字段级加密：用PostgreSQL官方原生支持的pgcrypto扩展，对表中需要保密的业务字段做密文转换后落盘，适合只需要加密少部分敏感列、不需要整库全加密的场景，所有正式版PostgreSQL都自带这个扩展，不存在参数不兼容的问题。
• 开源页级透明加密扩展：用社区维护的pg_tde这类开源扩展，实现数据库数据页级的透明加密，加密流程在数据库内核层完成，对上层应用完全无感知，部署流程不需要依赖initdb的实验参数，兼容Windows平台的正式版PostgreSQL。

内容的提问来源于stack exchange，提问作者Teof11