好问题！咱们逐个解决你的疑问：

1. 触发器能否访问会话变量@key？ #

完全可以！MySQL中以@开头的是用户会话变量，触发器是在触发它的SQL语句所在的会话上下文中执行的，所以触发器能直接访问当前会话的@key变量。

不过有几个注意点要提醒你：

• 会话变量只在当前连接生命周期内有效，所以每次PHP建立新连接时都需要重新设置@key，否则触发器会因为@key为空导致加密失败。
• 如果你的应用使用了数据库连接池，一定要注意连接复用的问题：回收的连接如果没有清理@key变量，下一个请求复用该连接时会继承之前的密钥，可能导致数据加密混乱或密钥泄露。建议在连接回收时执行SET @key = NULL，或者每次请求前都重新设置@key。

2. 如何从服务器文件系统获取密钥？ #

MySQL本身没有内置的函数直接读取文件内容到会话变量，但可以通过以下两种安全的方式实现：

• PHP端读取后传入：这是最推荐的方案。在PHP连接MySQL之前，先读取服务器上的密钥文件（注意设置文件权限为chmod 600，确保只有运行PHP的用户能读取），然后在连接后执行SET @key = '读取到的密钥'。示例代码：

  $key = file_get_contents('/path/to/secure/keyfile');
  $pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
  $pdo->exec("SET @key = '$key'");
  

• 使用自定义UDF（不推荐）：你可以编写一个MySQL用户定义函数（UDF）来读取服务器文件，但这种方式需要编译安装UDF，风险较高（如果UDF存在漏洞可能导致服务器被入侵），而且维护成本高，除非特殊需求不建议使用。

另外，不要尝试用MySQL全局变量（@@global.key）存储密钥，因为全局变量对所有会话可见，会导致密钥泄露给所有有权限的数据库用户。

3. 无需重写应用插入/更新语句的替代方案 #

除了你提到的触发器，还有几种方案可以实现自动加密，不用修改应用代码：

• 使用INSTEAD OF触发器的视图：创建一个面向应用的视图，把加密/解密逻辑放在视图的触发器里。比如：

  1. 先创建基表存储加密后的数据：

     CREATE TABLE aaa (id INT AUTO_INCREMENT PRIMARY KEY, testcol VARBINARY(255));
     

  2. 创建视图，展示解密后的明文：

     CREATE VIEW aaa_view AS 
     SELECT id, AES_DECRYPT(testcol, @key) AS testcol FROM aaa;
     

  3. 给视图创建INSTEAD OF INSERT/UPDATE触发器，自动加密数据：

     CREATE TRIGGER aaa_view_insert INSTEAD OF INSERT ON aaa_view
     FOR EACH ROW BEGIN
       INSERT INTO aaa (testcol) VALUES (AES_ENCRYPT(NEW.testcol, @key));
     END;
     
     CREATE TRIGGER aaa_view_update INSTEAD OF UPDATE ON aaa_view
     FOR EACH ROW BEGIN
       UPDATE aaa SET testcol = AES_ENCRYPT(NEW.testcol, @key) WHERE id = NEW.id;
     END;
     

     这样应用只需要操作aaa_view，完全不用关心加密逻辑，所有加密解密都由视图和触发器处理。

• 数据库中间件拦截：如果你的架构允许，可以在应用和MySQL之间加一个中间件，拦截所有SQL语句，自动对指定列进行加密/解密。比如自己封装PHP的PDO类，在prepare或execute方法中自动修改SQL语句，把明文替换成加密后的内容。

• 透明数据加密（TDE）：如果你用的是MySQL企业版、Percona Server或MariaDB，它们支持透明数据加密，直接加密磁盘上的表空间数据，应用层完全看不到加密过程。不过TDE是整表/整库加密，不是单列加密，适合需要全盘加密的场景。

最后几个安全提醒 #

• 密钥一定要妥善存储：不能硬编码在代码里，密钥文件权限要严格控制，避免被读取。
• 用SSL加密MySQL连接：防止密钥在网络传输过程中被截获。
• 考虑密钥轮换：如果需要定期更换密钥，触发器方案需要编写脚本重新加密所有数据，所以要提前规划密钥轮换流程。

内容的提问来源于stack exchange，提问作者cronoklee