数据库凭据加密的工作原理是什么？

数据库凭据加密的工作原理如下：

1. 基本工作流程

数据库凭据加密的核心思路是：将凭据的明文形态与存储/使用形态分离，确保凭据在任何静态存储场景下均以密文存在。典型工作流程包括：凭据创建时由密钥管理系统生成或导入加密密钥，对凭据进行加密后存储；应用程序运行时通过认证身份调用凭据管理服务接口，以密文形式将凭据传输至应用端，在内存中完成解密后立即使用并清除明文痕迹。

2. 加密管道机制

凭据在写入存储介质之前，先经过密钥派生函数（KDF）处理主密码或主密钥，生成实际加密密钥；再用该密钥对凭据明文执行对称加密（如 AES-256-GCM），生成密文、初始化向量（IV）和认证标签；最终将密文、IV 和标签一并存储。读取时反向执行：检索密文与 IV，使用相同密钥解密并校验认证标签完整性。

3. 动态凭据机制

除静态加密外，现代凭据管理系统还支持动态凭据机制：应用程序在运行时向凭据管理服务申请临时数据库账号，服务动态创建具备限定权限和有效期的数据库账号并返回凭据；应用使用完毕后，凭据管理服务自动销毁该临时账号，实现凭据"用完即焚"，从机制上消除长期静态凭据的泄露风险。