三角洲行动卡盟批量制卡与卡密加密存储方案：AES-256 加密与数据库脱敏备份实操指南

一、 卡密明文存储的致命数据泄露隐患

若数据库表中的 `card_secret` 字段以明文直接存储，一旦服务器被注入 WebShell 或被低权限运维人员 dump 备份文件，数万张有效激活码将瞬间外泄失窃。三角洲卡盟排行榜主流架构均强制在数据落盘前完成字段级对称加密。

二、 AES-256-CBC 字段加解密实操方案

在数据层接入密码学加密中间件，实现存取自动加解密：

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend
import os, base64

def encrypt_card(raw_card: str, key_32bytes: bytes) -> str:
    iv = os.urandom(16)
    cipher = Cipher(algorithms.AES(key_32bytes), modes.CBC(iv), backend=default_backend())
    encryptor = cipher.encryptor()
    # 简易 PKCS7 填充
    pad_len = 16 - (len(raw_card) % 16)
    padded = raw_card + chr(pad_len) * pad_len
    encrypted = encryptor.update(padded.encode()) + encryptor.finalize()
    return base64.b64encode(iv + encrypted).decode('utf-8')

三、 数据库备份脱敏与日志审计追踪

生产数据库每日自动备份时，导出脚本必须剔除真实卡密字段，替换为掩码哈希：

# 数据库导出时脱敏掩码生成
mysqldump -u root -p db_kameng --ignore-table=db_kameng.card_secrets_plaintext > backup_desensitized.sql

所有查看明文卡密的操作均必须在后台留下管理员操作员 IP、工号及操作时间的不可篡改审计日志。