用途：透明加密存储模式描述一种在存储层自动完成加解密的方案，应用读写数据时看到明文，加密对应用透明，用于防范静态数据泄露。
主要能力：写入时由存储管理器拦截 I/O，经加密器加密后落盘；读取时反向解密返回应用。核心组件包括应用、存储管理器、加密器、物理存储与密钥管理器。特点是应用无感知、全量加密（非选择性）、由基础设施而非应用管理密钥。
实现方式：数据库级 TDE（如 SQL Server、Oracle、PostgreSQL pg-tde 扩展、MySQL InnoDB 表空间加密、MongoDB 加密存储引擎）；文件系统/磁盘加密（LUKS、BitLocker、FileVault、dm-crypt）；云厂商磁盘与数据库加密（AWS EBS/RDS、Azure Disk/SQL TDE、GCP）。
防护范围：可防物理磁盘被盗、退役磁盘暴露、备份介质失窃、未授权文件系统访问。不能防已授权数据库访问、SQL 注入、应用漏洞、凭证泄露及内存攻击，仅为多层防御中的一层。
密钥管理：密钥安全决定加密安全，建议密钥与数据分离存储、使用 HSM、制定备份恢复与轮换策略、审计密钥访问，云上可用 AWS KMS、Azure Key Vault、GCP Cloud KMS。
性能与备份：现代 CPU 的 AES-NI 加速下开销通常约 2%–10%，需用真实负载测试；TDE 通常自动加密备份，应验证备份加密并测试恢复流程。
适用场景：需要广泛存储保护、无法修改应用、合规要求静态加密、防范物理威胁时使用；若需保护特定敏感字段或防范 DBA，可叠加选择性加密。实施清单包括启用 TDE、密钥入 HSM/KMS、测试密钥备份与恢复、定义轮换计划、验证备份加密、测量性能、审计密钥访问，并明确 TDE 不等于完整保护。