在数据库存储敏感信息时，直接明文存储会带来极大的安全风险，MySQL提供了多种内置加密函数，可满足不同场景下的数据加密需求，开发者可以根据实际业务选择合适的函数实现数据保护。
MySQL常用内置加密函数介绍
不可逆加密函数
这类函数加密后的结果无法反向解密，适合存储密码等不需要还原原始数据的场景。
MD5函数
MD5是常用的哈希算法，MySQL的MD5()函数可以计算字符串的MD5哈希值，返回32位十六进制字符串。
-- 计算字符串的MD5值
SELECT MD5('test_password');
-- 输出结果：098f6bcd4621d373cade4e832627b4f6
需要注意MD5算法已经被证明存在碰撞风险，不建议用于高安全要求的密码存储场景。
SHA2函数
SHA2()函数支持SHA-224、SHA-256、SHA-384、SHA-512等多种哈希算法，安全性高于MD5，语法为SHA2(str, hash_length)，hash_length可选值为224、256、384、512，对应不同的哈希长度。
-- 计算SHA-256哈希值
SELECT SHA2('test_password', 256);
-- 输出结果：9f735e0df9a1ddc702bf0a1a7b83033f9f7153a00c29de82cedadc9957289b05
可逆加密函数
这类函数加密后的结果可以通过对应函数解密还原原始数据，适合需要读取原始信息的敏感数据存储场景。
AES_ENCRYPT和AES_DECRYPT函数
这两个函数基于AES算法实现加密解密，是MySQL中最常用的可逆加密函数。AES_ENCRYPT(str, key_str)用于加密，AES_DECRYPT(crypt_str, key_str)用于解密，加密后的结果为二进制字符串。
-- 加密字符串
SELECT AES_ENCRYPT('user_phone_13800138000', 'my_secret_key_123');
-- 解密字符串
SELECT AES_DECRYPT(AES_ENCRYPT('user_phone_13800138000', 'my_secret_key_123'), 'my_secret_key_123');
-- 解密结果：user_phone_13800138000
内置加密函数的实际应用实践
用户密码存储场景
用户密码不需要还原原始内容，适合使用不可逆哈希函数，推荐使用SHA2函数配合盐值提升安全性。
-- 创建用户表，密码字段存储哈希后的结果
CREATE TABLE user_info (
id INT PRIMARY KEY AUTO_INCREMENT,
username VARCHAR(50) NOT NULL,
-- 存储SHA2-256哈希结果，长度为64位十六进制字符串
password_hash CHAR(64) NOT NULL,
salt CHAR(32) NOT NULL
);
-- 插入用户数据，生成随机盐值，密码和盐值拼接后哈希存储
SET @salt = MD5(RAND());
SET @password = 'user_password_123';
INSERT INTO user_info (username, password_hash, salt)
VALUES ('test_user', SHA2(CONCAT(@password, @salt), 256), @salt);
-- 用户登录时验证密码
SELECT id FROM user_info
WHERE username = 'test_user'
AND password_hash = SHA2(CONCAT('user_password_123', salt), 256);
敏感信息加密存储场景
比如用户手机号、身份证号这类需要后续查询使用的敏感信息，适合使用AES可逆加密函数存储。
-- 创建存储用户敏感信息的表，加密字段使用VARBINARY类型存储二进制加密结果
CREATE TABLE user_sensitive_info (
id INT PRIMARY KEY AUTO_INCREMENT,
user_id INT NOT NULL,
-- 存储加密后的手机号
phone_encrypt VARBINARY(255) NOT NULL,
-- 存储加密后的身份证号
id_card_encrypt VARBINARY(255) NOT NULL
);
-- 插入加密后的敏感数据，密钥可以存储在配置文件中，不要硬编码在SQL里
SET @encrypt_key = 'my_secure_key_2024_xyz';
INSERT INTO user_sensitive_info (user_id, phone_encrypt, id_card_encrypt)
VALUES (
1,
AES_ENCRYPT('13800138000', @encrypt_key),
AES_ENCRYPT('110101199001011234', @encrypt_key)
);
-- 查询时解密数据
SELECT
user_id,
AES_DECRYPT(phone_encrypt, @encrypt_key) AS phone,
AES_DECRYPT(id_card_encrypt, @encrypt_key) AS id_card
FROM user_sensitive_info
WHERE user_id = 1;
使用内置加密函数的注意事项
- 加密密钥需要妥善保管，不要硬编码在SQL语句或者应用代码中，建议存储在独立的配置服务或者环境变量中，避免密钥泄露导致数据被解密。
- 不可逆哈希函数不适合单独使用，建议配合随机盐值存储，避免彩虹表攻击破解哈希结果。
- AES加密后的结果是二进制数据，存储时需要使用
VARBINARY、BLOB等二进制类型字段，不要使用VARCHAR类型，否则会出现数据截断或者乱码问题。 - 加密操作会增加数据库的计算开销，如果业务中对性能要求极高，可以考虑在应用层完成加密后再存入数据库，平衡安全性和性能。
- 不要使用已经被证明不安全的加密函数，比如
ENCRYPT()、PASSWORD()函数，这些函数的加密强度低，不适合生产环境使用。
常见问题解答
加密后的数据可以走索引吗？
不可逆哈希后的字段可以正常走索引，因为哈希值是固定长度的字符串，查询时匹配哈希值即可。但可逆加密后的字段无法走普通索引，因为加密结果和原始数据没有顺序关联，如果需要按加密字段查询，可以考虑在应用层加密查询条件后匹配，或者采用其他方案。
不同MySQL版本的加密函数有差异吗？
大部分内置加密函数的语法是兼容的，但部分旧版本的函数可能存在算法支持差异，比如低版本MySQL的SHA2()函数可能不支持部分哈希长度，使用前建议查看对应版本的官方文档确认函数支持情况。
MySQL数据加密内置加密函数AES_ENCRYPT修改时间：2026-06-30 22:36:36