云服务器数据加密怎么配置？手把手教你从0搭一套

很多站长买了云服务器，网站跑起来了，数据却在“裸奔”——数据库密码明文写在 config.php 里，备份文件直接扔在 /root 目录，连 HTTPS 都没上。等到被拖库、备份被扫走，才发现补都来不及。这篇不讲虚的，就讲怎么把云服务器的数据加密配置起来。适合个人站长、小团队开发者和中小企业运维，不需要你是安全专家，会复制命令就行。

核心操作：五步把数据锁起来

第一步：先上 HTTPS，把传输层锁住

别问我是怎么知道的，现在还有站点用 HTTP 传登录密码。用 Let's Encrypt 免费证书，Nginx 下一行命令搞定：

# Ubuntu/Debian
apt install certbot python3-certbot-nginx -y
certbot --nginx -d yourdomain.com -d www.yourdomain.com

证书 90 天自动续期，systemctl status certbot.timer 确认一下定时任务在跑。装完后把 HTTP 强制跳转 HTTPS，在 Nginx 配置里加：

server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

第二步：给数据盘上 LUKS 加密

云厂商的云盘有的支持“加密盘”选项，买的时候勾一下就行。自建 VPS 没这功能，可以用 LUKS 对数据盘加密（注意：系统盘别随便加密，重装容易翻车）：

# 假设数据盘是 /dev/vdb
cryptsetup luksFormat /dev/vdb
cryptsetup luksOpen /dev/vdb encrypted_data
mkfs.ext4 /dev/mapper/encrypted_data
mount /dev/mapper/encrypted_data /data

开机自动挂载要写 /etc/crypttab，否则重启后盘就“消失”了。这一步适合放数据库文件、用户上传文件。

第三步：数据库敏感字段加密

整库加密对中小站来说太重，推荐“字段级加密”。以 MySQL 为例，手机号、身份证这类字段用 AES 加密后再入库：

-- 插入时加密
INSERT INTO users (phone) VALUES (AES_ENCRYPT('13800138000', '你的密钥'));
-- 查询时解密
SELECT AES_DECRYPT(phone, '你的密钥') FROM users WHERE id = 1;

密钥别写死在代码里，放环境变量或者单独的配置文件，权限设成 600。

第四步：备份文件必须加密

备份不加密，等于把家底打包送人。用 openssl 一条命令：

tar -czf - /var/www | openssl enc -aes-256-cbc -salt -out backup.tar.gz.enc
# 解密
openssl enc -d -aes-256-cbc -in backup.tar.gz.enc | tar -xzf -

密码用 -pass file: 从文件读，别直接写在命令行里——history 会记下来。

第五步：密钥管理别偷懒

加密的强度取决于密钥怎么存。最低要求：密钥和加密数据不在同一台机器、不在同一个备份包里。小团队可以用一台低配机器专门放密钥，或者用云厂商的 KMS 服务。定期轮换密钥，换之前先确认老密钥还能解密历史数据。

避坑提醒：新手最容易犯的3个错

密钥和备份放一起：加密备份传到对象存储，密钥文件也在同一个桶里，等于没加密。
只加密不备份密钥：LUKS 密码忘了、密钥文件删了，数据就是一堆乱码，神仙也救不回来。密钥至少存两份，离线一份。
以为上了 HTTPS 就万事大吉：数据库 3306 端口还对公网开放，加密了个寂寞。安全组只放行必要端口，数据库只允许内网访问。

解决方案推荐：省心又省钱的选择

如果你不想自己折腾证书续期、磁盘加密这些琐事，可以看看沐雨云服务器（https://www.myyvps.com）。它提供高防云服务器，单机 50-200G DDoS/CC 防御，香港/美国/日本免备案 VPS，采用 BGP/CN2 优质线路、纯 SSD 固态硬盘。2 核 2G 轻量云 12.8 元/月起，支持支付宝/微信支付，适合个人博客、电商网站、游戏服务器、外贸独立站等场景。高防加持下，基础安全防护帮你挡掉不少麻烦，再配合上面的加密配置，数据安全能上一个台阶。