用途
SQLCipher Encrypted Database Expert 是一个面向 SQLCipher 加密数据库开发的专家技能。其目标是在实现加密读写时，帮助开发者正确配置加密、管理密钥并规避常见的安全与性能陷阱。资料将该技能的风险级别标注为 HIGH，理由是 SQLCipher 负责静态敏感数据加密，密钥管理不当会导致数据暴露，弱密钥派生会招致暴力破解，密码学配置错误会彻底破坏安全保证。
主要能力
技能围绕以下方向展开：加密密钥的安全派生与存储；在不丢失数据、不停机的前提下进行密钥轮换；AES-256 配置的密码学最佳实践；防止密钥暴露的安全内存处理；从明文 SQLite 迁移到加密数据库的策略。
核心开发原则包括：TDD 优先，为所有加密操作先写测试；关注性能，优化密码配置与页大小；使用强密钥派生，如 PBKDF2 高迭代次数（256000+）；绝不硬编码加密密钥，密钥应来自用户输入或安全存储；使用后对内存中的密钥执行零化；实现密钥轮换以应对密钥泄露；持续监控依赖项（OpenSSL 与 SQLite）的 CVE。数据保护原则包括：使用 AES-256-CBC 进行静态加密、用 HMAC 校验完整性、通过操作系统钥匙串/凭据管理器存储密钥、备份使用独立密钥加密、通过 PRAGMA secure_delete 实现安全删除。
技术基础与版本
资料建议 SQLCipher 使用 4.9+（最低 4.5），OpenSSL 使用 3.0+（最低 1.1.1），Rust 绑定 sqlcipher crate 使用 0.3+。示例 Cargo.toml 依赖包括 rusqlite（features = ["bundled-sqlcipher"]）、zeroize、keyring，以及可选的 argon2。
使用方式
资料给出以 TDD 为线索的实现工作流。第一步先写失败测试，示例测试覆盖三项验证：数据库文件确实被加密（原始内容中不出现明文值与 "SQLite format"）、错误密钥无法打开数据库、密钥轮换后数据仍可保留且旧密钥失效；另有一项测试验证密钥派生结果格式与可复现性。第二步以实现通过测试，Python 示例中打开连接后必须先将 PRAGMA key 作为第一条语句执行，再设置 cipher_compatibility = 4、cipher_memory_security = ON、foreign_keys = ON，并通过查询 sqlite_master 验证可解密；rotate_key 方法先备份再执行 PRAGMA rekey。第三步在测试通过后应用性能优化模式，第四步运行完整验证，包括覆盖率测试、针对加密与密钥的安全测试以及性能基准。
实现模式部分给出：加密数据库初始化（Rust 示例中先用 pragma_update 设置 key，再执行批量 PRAGMA，并查询 cipher_page_size 验证加密已激活）；使用 Argon2id 的安全密钥派生（参数为 65536、3、4，输出 32 字节，结果包装为 Zeroizing）；操作系统钥匙串集成（通过 keyring::Entry 存取密钥）；密钥轮换实现（备份、rekey、验证新密钥可用，失败时从备份恢复）。
性能模式部分给出：页大小优化（4096 适合混合负载，8192 适合大 BLOB，1024 适合小记录）；密码配置调优（kdf_iter 取 256000，设置 cipher_plaintext_header_size 以支持 mmap，开启 cipher_use_hmac）；连接与密钥缓存（派生一次密钥并复用，避免每次操作都做约 100ms 的昂贵派生）；加密下启用 WAL 模式（journal_mode = WAL、synchronous = NORMAL、wal_autocheckpoint = 1000）；内存安全取舍（cipher_memory_security = ON 会清零释放内存，OFF 约快 10%–15%）。
适用场景
资料列出的主要用例包括：敏感用户数据的加密本地存储、HIPAA/GDPR 合规数据存储、安全的凭证与密钥管理、隐私优先的应用。
安全标准与限制
资料强调需同时监控 SQLite 与 OpenSSL 的 CVE，并列举了 CVE-2020-27207（High，需升级至 SQLCipher 4.4.1+）、CVE-2024-0232（Medium，需升级至 4.9+）、CVE-2023-2650（High，需将 OpenSSL 升级至 3.1.1+）。在 OWASP 映射中，A02:2021 密码学失败与 A03:2021 注入均标为 Critical，A04:2021 不安全设计标为 High。密钥管理规则要求：绝不硬编码密钥；使用强 KDF（Argon2id 优于 PBKDF2 且迭代 256000+）；密钥存储于操作系统钥匙串；使用后零化内存中的密钥；实现密钥轮换流程。常见错误包括硬编码密钥、弱密钥派生、缺少加密激活校验、不安全的备份。
实施前检查清单分为三阶段：写代码前阅读威胁模型、确定加密要求、选择 KDF 参数、规划密钥存储与轮换、编写失败测试；实现中确保 PRAGMA key 为首个操作、设置兼容性与内存安全、密钥包装为零化容器、设置密钥后执行验证查询、只使用参数化查询、应用性能模式；提交前确保测试全部通过、无硬编码密钥、派生迭代 256000+、已审查 CVE、敏感表开启 secure_delete、备份加密已测试、文件权限设为 600、密钥轮换流程已记录并测试。
资料中引用的 references/security-examples.md、references/advanced-patterns.md、references/threat-model.md 为配套参考文件。该技能未提供官方收费、价格或平台支持等信息，本说明中亦未涉及。