MySQL 雙向加密實戰：ENCODE/DECODE 與 AES_ENCRYPT/AES_DECRYPT 保護敏感資料

應用場景

Web 應用需儲存密碼、API Key、身分證號等敏感資料，資料庫被拖庫時仍能保證資料機密性。MySQL 內建兩組雙向加密函數：

• ENCODE/DECODE：簡易、效能高、加密強度中等
• AES_ENCRYPT/AES_DECRYPT：AES-128-ECB、強度高、效能稍低

一、ENCODE/DECODE 基礎用法

寫入加密資料

INSERT INTO users (username, password)
VALUES ('joe', ENCODE('guessme', 'abracadabra'));

結果為二進位字串，直接 SELECT 顯示亂碼。

讀取解密資料

SELECT DECODE(password, 'abracadabra') FROM users WHERE username='joe';
-- 回傳明文 'guessme'

應用層驗證範例

$query = "SELECT COUNT(*) FROM users
          WHERE username='$inputUser'
          AND DECODE(password, 'abracadabra') = '$inputPass'";

注意： 密鑰 'abracadabra' 洩露即意味著所有資料可被解密，生產環境請存放於環境變數或金鑰管理系統（KMS），勿硬編碼於程式碼。

二、AES_ENCRYPT/AES_DECRYPT 強化版

INSERT INTO users (username, password)
VALUES ('joe', AES_ENCRYPT('guessme', 'stronger_key_16_bytes!'));

SELECT AES_DECRYPT(password, 'stronger_key_16_bytes!') FROM users WHERE username='joe';

• 金鑰長度建議 16/24/32 位元組（AES-128/192/256）
• MySQL 內部使用 ECB 模式，若需 CBC/GCM 請在應用層處理
• 回傳為二進位，建議 HEX() 儲存或 BLOB 欄位

三、安全最佳實踐

四、效能對比（百萬筆測試參考）

結語

MySQL 內建雙向加密函數提供「資料靜態加密」的基礎能力。**密碼類敏感資訊請務必使用單向強雜湊（bcrypt/Argon2）**，其他機密欄位可視風險等級選擇 ENCODE（低延遲、低強度）或 AES_ENCRYPT（高強度）。核心在於：**金鑰不落地、審計可追溯、輪換有機制**。