深度探讨安卓系统开发中的数据存储技术

安卓系统作为目前世界上最流行的移动操作系统之一，其数据存储技术一直是开发者们关注的焦点之一。在安卓应用开发过程中，合理选择和应用数据存储技术对于提高应用性能、用户体验以及数据安全性都起着至关重要的作用。本文将从安卓系统开发的角度对数据存储技术进行深度探讨，包括安卓系统中常用的数据存储方式、各种技术的优缺点以及如何选择最适合的数据存储技术。

1. 数据存储方式

在安卓系统开发中，常用的数据存储方式主要包括Shared Preferences、数据库存储(SQLite、Room)以及文件存储。每种数据存储方式都有其适用的场景和特点。

1.1 Shared Preferences

Shared Preferences是安卓系统提供的一种轻量级的数据存储方式，主要用于保存少量的基本数据类型，如键值对、用户配置信息等。Shared Preferences适合存储一些简单的配置信息，例如用户偏好设置、应用的状态等。其优点是操作简单方便，不需要编写复杂的SQL语句，适合存储少量数据。

1.2 数据库存储

数据库存储在安卓应用开发中应用广泛，主要包括SQLite和Room两种方式。SQLite是一种轻量级的关系型数据库，适合存储结构化数据。开发者可以通过SQLiteOpenHelper类来创建和管理数据库，通过SQL语句进行数据的增删改查操作。而Room是谷歌推荐的持久性库，基于SQLite封装了更高级的抽象层，简化了数据库操作，提高了开发效率。

1.3 文件存储

文件存储是一种直接将数据保存在文件中的方式，适合存储一些大型文件或不规则数据。在安卓系统中，可以通过文件输入输出流来进行文件的读写操作。文件存储适合存储图片、音频、视频等大型文件，但相较于数据库存储，文件存储操作相对较慢，且不支持复杂的查询操作。

2. 数据存储技术的优缺点

不同的数据存储技术具有各自的优缺点，开发者在选择数据存储技术时需要根据实际需求进行合理的权衡。

2.1 Shared Preferences的优缺点

优点：

• 操作简单方便，适合存储少量数据。
• 无需编写复杂的SQL语句，易于上手。

缺点：

• 不适合存储大量数据，性能较差。
• 只能存储基本数据类型，不支持复杂数据结构。

2.2 数据库存储的优缺点

优点：

• 适合存储结构化数据，支持复杂的查询操作。
• 提供事务支持，保证数据的完整性。

缺点：

• 需要编写SQL语句，学习成本较高。
• 对于简单的数据存储需求，可能显得过于繁琐。

2.3 文件存储的优缺点

优点：

• 适合存储大型文件或不规则数据。
• 操作简单直接，无需复杂的数据库操作。

缺点：

• 不支持复杂的查询操作，性能较差。
• 可能导致文件碎片化，影响读写性能。

3. 如何选择最适合的数据存储技术在进行安卓应用开发时，选择最适合的数据存储技术是至关重要的。开发者可以根据以下几个方面来进行选择：

3.1 数据类型和量

根据应用所需存储的数据类型和数据量来选择合适的存储技术。如果是少量基本数据类型，可以选择Shared Preferences；如果是结构化数据且需要复杂的查询操作，可以选择数据库存储；如果是大型文件或不规则数据，可以选择文件存储。

3.2 性能要求

根据应用对性能的要求来选择数据存储技术。如果需要高性能和复杂的查询操作，数据库存储可能是更合适的选择；如果对性能要求不高且数据量较小，可以考虑使用Shared Preferences。

3.3 数据安全性

考虑数据的安全性需求来选择数据存储技术。数据库存储通常提供更好的数据安全性，可以通过加密等措施保护数据；而文件存储相对不太安全，容易被恶意攻击。

3.4 开发成本和复杂度

考虑开发成本和复杂度来选择数据存储技术。Shared Preferences操作简单，适合快速开发；数据库存储需要编写SQL语句，学习成本较高；文件存储相对简单，但可能需要处理文件碎片化等问题。

结论

在安卓系统开发中，数据存储技术的选择对于应用的性能、用户体验和数据安全性都具有重要影响。开发者应根据应用的实际需求，权衡各种数据存储技术的优缺点，选择最适合的数据存储方式。

---

安卓内外部存储完全解析 -- 别再弄混了

安卓开发离不开手机存储，然而大部分人对于安卓开发中的存储概念存在误区，内部外部SD卡傻傻分不清？

以下引用来自对 官方文档 的理解

呵呵呵，先别说话，然而重点来了（敲黑板），按照官方的说法，

内部存储是指系统的存储空间，没有root是访问不到的呦亲，比如sharedPreferenced或者database都是保存在这里面的。

外部存储，又分为 2 部分：

然而现实中，常常有同事把手机那个32G，64G存储叫做内部存储= =，宝宝好累，人家明明是 ExternalStorage ！！

希望本篇能让大家对内外部存储有一个正确鲜明的认识

getFilesDir()

路径如下

文档 云:若想操作该路径，你需要一个输出流：

就像这样:

注: this 是 context 对象

在

路径下会看到新文件哦

如果你还想读取的话， 文档 云:你需要一个输入流：

Log如下

getCacheDir()

文档 云:

路径如下：

特别的,还有getDir() ：

getDir(- -!, _PRIVATE)()

路径如下：

app_是系统自己加上去的

内部存储就是系统的存储，没有root你是看不到的，内部存储最大特点就是可以用Context对象调用各个获取路径的方法。比如： () 那就是

下的文件遍历。

而 deleteFile(ABC) 就是

删除下名为 ABC 的文件

操作外部存储你首先需要以下权限

当你申请了write权限，那么read权限默认也就通过啦

再判断状态：

这个路径根据手机厂家不同会有些许变化

直接传入 Environment 中的常量获取相应的路径，如下：

(_ALARMS));

或者

(_PICTURES));

公有目录下，系统会区分不同类别 （例如铃声在系统设置中显示为铃声而不是音乐）

4.4以后访问该目录不再需要权限了

getExternalFilesDir(String type)

特别的：ContextCompat下的

(context,type)

返回一个File[]，在4.4以后第一条数据默认外部主存储目录，第二条数据就是sd卡路径啦，但是注意4.4之前是没有第二条数据的哦

该目录下的特点是卸载程序后，该目录和其下所有文件均会被删除

getExternalCacheDir()

注意，使用该目录注意管理空间，你不能等系统帮你清理，而是自己清理不再需要的缓存

特别的：ContextCompat下的

道理同上

发现特点了吗朋友，无论外部内部，只有路径中有包名，那么就是私有的，而且是随着程序的卸载而被删除的， 有包名的路径均是Context中的方法，而公有的路径均是Environment调用的

这个货真真是要了老命，一般的方法根部不好使，结合网上有的方法加上公司项目中的方法，总结如下：

百分百好用的获取SD卡路径方法：

最后集合 path 中的值就是SD卡根目录

虽然无视版本百分百好用，但是如果你的手机有SD卡槽却没插SD卡，该方法最后 path 返回的是 null ，也就是说该方法无法判断到底是没插SD卡还是根本不支持SD卡

其实还有一种方法

String path = (SECONDARY_STORAGE);

该方法只要你手机支持SD卡，无论你插没插SD卡，均会返回SD卡路径，但是 6.0及以上该方法被移除

Environment中源码其实就是根据这个方法获取路径的

安卓官方文档大家一定要看，他就是我们开发者的权威呀，圣经呀！！

应用的用户数据在安卓系统中存放的哪里？

应用的用户数据在安卓系统中是存储在特定的位置下的，系统root后，可以到系统的/data/data目录中找到一大堆以应用的包名命名的文件夹。

拓展资料：

每个文件夹里面的内容基本就是对应的应用存储的用户数据，原则上来讲只要把特定目录中内容拷贝到另外一台手机的相同的路径下，就能够恢复相应应用的用户数据了，但是单纯的拷贝完会遇到一些问题。（当然有些应用会在sdcard上生成一些缓存数据，或者存储下载的图片等文件，这些存在sdcard上的数据单纯的拷贝到另外一台手机上就可以了，没有特别需要说明的地方。）

这样可能不仅仅是针对碎屏或者是系统无法启动的手机数据迁移的方法。如果你使用的不是MIUI，没有本地备份，只要你的手机能root，就可以用相同的方法进行数据迁移，对于需要换成小米手机的用户来说，想要保留某些自己喜欢的应用的数据，本地备份以一个非常必备且实用的数据迁移工具。

参考资料：安卓数据库_网络百科

数据库存储的关键技术包括

数据库存储的关键技术主要包括以下三个方面：

1. 数据模型设计：这是数据库存储过程中的第一步，主要涉及确定数据应如何存储和组织。数据库系统有多种数据模型，如关系模型、网络模型、对象模型等，每种模型都有其适用的场景和特性。在设计数据模型时，需要考虑到数据的语义和数据的结构化需求。

2. 索引技术：索引是数据库中提高查询性能的关键技术之一。通过创建合适的索引，数据库系统可以快速定位和获取所需的数据，大大提高查询速度。不同的数据库系统支持不同的索引类型，如B树索引、哈希索引、全文索引等，需要根据具体的数据和查询需求来选择合适的索引类型。

3. 数据压缩技术：随着数据量的不断增加，对数据库的存储和传输效率提出了更高的要求。数据压缩技术可以帮助减少存储空间和提高数据传输速度。数据库系统通常会采用一些压缩算法来对数据进行压缩，以节省存储空间和提高查询效率。

4. 并发控制技术：在多用户环境下，数据库需要处理多个用户的并发请求。为了确保数据的一致性和完整性，数据库系统需要采用一些并发控制技术，如锁机制、事务隔离级别等，来避免数据冲突和丢失。

5. 数据恢复技术：数据库系统需要具备一定的数据恢复能力，以应对意外故障或数据损坏的情况。数据库系统通常会采用日志文件、备份策略等技术来确保数据的可靠性和完整性。

以上这些关键技术是数据库存储过程中必不可少的部分，它们共同保证了数据库的高效、安全和可靠。在实际应用中，需要根据具体的数据和业务需求来选择合适的数据库系统和配置，以达到最佳的性能和效果。

安卓内部外部文件存储

总述 觉得十分有必要搞清楚内存，内部存储和外部存储的区别，还有我们在开发中真正将数据存在了手机的哪儿。 先提一个问题：手机设置的应用管理中，每个App下都有清除数据和清除缓存，清除的分别是哪里的数据？ 一 内存，内部存储和外部存储 整个存储空间分为内部存储和外部存储两部分，内部存储中又包含RAM和ROM等部分。 内部存储，即InternalStorage，也常说内置存储卡，这是手机内置的存储空间，出厂时就被确定，是手机的一个硬件指标。 类比电脑的内存。 外部存储，即ExternalStorage，也常说外置存储卡，手机出厂时并不存在，是由用户自由扩展的存储空间，常见的就是SD卡。 类比电脑的外接移动硬盘。 RAM，即常说的运行时内存，是手机运行时存储数据和指令的地方，注意是运行时内存。 类比电脑的内存条。 ROM，用来存放一些系统文件，应用配置和其他数据的地方，是内部存储中主要存储区域。 类比于Windows电脑的C盘。 上图中运行内存即RAM，共2G，机身存储即内部存储，共8G。 打开手机的文件管理，再点击手机一项，可以看到下图： 上图中箭头所指的地方，可以进行内部存储与外部存储的切换，当前页为内部存储下的展示，这只是Android系统存储数据的一部分而已，大部分数据都对用户隐藏。 至于红框部分下面继续讲。 二 详说存储 一般来说，App软件大都安装在内部存储的ROM区，当然现在也有办法安装在SD卡上，但这需要App自身支持及SD卡分区等一系列操作，下面讨论的App是安装在ROM区的。 以Genymotion模拟器设备为例来分析，型号是三星GalaxyS5。 直接使用AndroidStudio的DDMS，打开File Explorer，我们可以看到下图： 这张图是手机根目录下的完整目录结构图，内外部存储均包含在内。 不过有些文件内容需要root权限才能看到。 上面展示的内部存储图就是其中一部分子目录。 选其中几个重要的文件夹介绍。 2.1/data包：主要存储手机应用的相关数据。 如上图的二级目录中，/data/app文件夹下存放三方应用的apk文件；/data/data文件夹下存放系统应用和三方应用的包私有数据，每个应用都有独属于自己的包。 选一个三方应用包——，来分析三级目录——/data/data/下都有什么数据： 由包名不难看出：cache包存放缓存数据，databases包存放使用SQLite存储的数据，files包存放普通数据（log数据，json型数据等），shared_prefs包存放使用SharedPreference存放的数据。 这些包都是由系统创建的。 2.2/mnt/sdcard/storage包：这三个包，与手机的部分内置存储卡数据和外置存储卡数据有关。 上面的完整目录结构图中有其子目录信息展示。 以内置存储卡来说，通常用sdcard0表示：Android4.1上，首先挂载到目录/storage/sdcard0上面，/sdcard和/mnt/sdcard都只是指向/storage/sdcard0的软链接；Android4.2上，首先挂载到目录/storage/emulated/0（0就表示内置存储）上面，为兼容之前版本，又挂载到/storage/emulated/legency上面，/storage/sdcard0、/sdcard和/mnt/sdcard都只是指向/storage/emulated/legency的软链接。 （挂载相当于真正位置，软链接相当于指针）。 /mnt/sdcard是Android2.2及之上版本使用，/sdcard是Android2.1及之下版本使用。 在手机的文件管理中看到的内置存储卡文件，如上面文件管理页面的图，就是/storage/emulated /0包的子目录，Android包的路径就是：/storage/emulated/0/Android。 2.3其他 /dev包：Linux系统的常规文件夹。 /system包：系统配置的文件夹，比如Android系统框架（framework）、底层类库（lib）、字体（font）等。 三 存储相关操作 在Android开发中，我们常打交道的存储空间有三部分。 一是根目录下路径为/data/data/包名/XX的文件。 开发中SQLite数据、SharedPreference数据均保存在这里，虽说我们可以读写操作，但这部分空间由系统维护。 二是在外置存储卡上做存储。 暂时不讲。 三是在内置存储卡中做存储。 在/storage/emulated/0/Android/data包下或与/storage/emulated/0/Android包同级目录上，建立App包存储数据，这部分空间均由开发者维护。 区别在于/storage/emulated/0/Android/data包下的数据为私有目录数据，会随App卸载被清除，与/storage/emulated/0/Android包同级的数据（如系统目录DCIM包，DOWNLOWN包和bluetooth包，还有下图中的baidu包）属于公有目录数据，不会随App卸载被清除，这就会造成数据的卸载残留。 Google官方建议开发者将App的数据存储在私有目录即/storage/emulated/0/Android/data包下，这样卸载App时数据会随之被系统清除，不会造成数据残留。 对存储空间进行操作，首先要获取存储空间的存储路径，对此Android提供了Environment类和Context类来获取路径。 就上面对存储空间的划分，第一部分空间对用户不可见，是在具体包名下的，和特定的App有关，所以对这些数据的访问需调用Context类中的方法；第三部分空间对用户可见，私有目录数据仍与特定App有关，需调用Context类中的方法，而公有目录数据与App无关，应调用Environment类中的方法。 总结如下图： 写了个小程序对Environment类和Context类相关方法测试，如下图：（冒号前为方法名，冒号后为输出结果） 四 回答最初提出的问题 手机设置的应用管理中，每个App下都有清除数据和清除缓存，清除的分别是哪里的数据？ 还是用上面的Genymotion模拟器设备来分析，主要测试三部分数据： 内部数据：/data/data/包名/XXX 外部私有数据：/storage/emulated/0/Android/data/包名/XXX 外部公有数据：/storage/emulated/0/包名/XXX 测试结果图就不上了，直接上结论： 清除缓存：将外部私有数据下的cache包（/storage/emulated/0/Android/data/包名/cache）清除，将内部数据下的cache包下的内容（/data/data/包名/cache/XXX）清除 。 清楚数据：将外部私有数据包（/storage/emulated/0/Android/data/包名）清除，将内部数据下的所有内容（/data/data/包名/XXX）清除； 而两种操作对外部公有数据均无影响。

IT培训分享Android软件开发主要是学习什么的？

近半年来，手机的安卓系统与iOS系统是目前主流的手机系统，Android软件开发主要是学习什么的？IT培训发现安卓开发的技术很多的，如果想一次性学好是不实际的，但下面这些基础还是要学好的。

1、Activity生命周期

虽然Android中有四大组件，但是不可否认Activity是最常用的。所以熟练掌握Android的生命周期是必须的。其实生命周期就是记住Activity的那些方法在什么时候被系统调用，这样才可以把对应的逻辑代码写到合适的方法内部去。

至于服务和广播组件可以稍微缓一下，到实际使用的时候再学习都可以。

2、界面开发技术

界面开发是一种基本的技术，几乎所有的程序里面都需要用到。在Android开发中界面开发分为3种：

1)使用xml文件布局

使用xml首先对于界面进行布局，然后在Activity里面进行引用是最常见的应用软件开发技术，这种方式使用的最大，需要学习的内容也最多。学习时需要熟悉：

a)五种Layout布局

深刻理解五种布局组织控件的方式是一个基本的基础，这样你才可以在实际的界面中灵活的使用每种布局结构，构造出需要的界面。

b)常用控件

控件有很多，至少要知道每种控件是做什么的，至于里面的特定参数和方法可以学要的时候再去查

c)界面美化

系统的控件很多时候无法满足要求，需要通过添加背景更换图片等进行美化，要熟悉每种控件如何去美化。

掌握了上面的内容，通过布局的嵌套就可以制作出各种界面，如果在熟悉include的使用就可以减少xml的重复，方便后期的修改和维护了。

2)使用代码动态创建

有些时候需要动态的创建一些布局和控件，这个就需要使用LayoutInflater去创建一些动态的界面了。

3)自己绘制界面

游戏中常用，继承SurfaceView自己绘制。

3、数据存储技术

Android中的数据存储方式有3种：

1)SharedPrefereneces存储

对于简单的数据可以使用该方式存储，以键值对的方式存储一些基本的数据。

2)文件存储

将数据以文件的形式存储，可以是手机自身的存储也可以是SD卡，文件的数据格式自己定义。

3)SQLite数据库存储

使用标准SQL语句进行操作，复杂数据的首选。

4、网络编程

现在的Android程序不需要联网的已经不多了。所以网络编程也是必须的，一般的公司都会封装有自己的联网结构，但是基本的联网还是要熟悉。

1)HTTP联网

使用Http联网+Json数据格式是现在很多客户端的首选。

2)Socket联网

至于蓝牙等连接方式则可以在项目需要的时候学习。

对于手机的系统功能，如拨打电话、发送短信、读取系统参数等则可以根据需要在学习，不麻烦的。

其次，手机软件相关

Android开发不同于普通的电脑软件开发，需要了解手机的操作习惯，知道手机的屏幕不大、内存有限，电池有限等，在实际开发和设计时尽量考虑。

一文读懂十种数据存储加密技术

密码技术是读懂十种数据存储加密技术的方法。

数据作为新的生产要素，其蕴含的价值日益凸显，而安全问题却愈发突出。密码技术，是实现数据安全最经济、最有效、最可靠的手段，对数据进行加密，并结合有效的密钥保护手段，可在开放环境中实现对数据的强访问控制，从而让数据共享更安全、更有价值。随着《密码法》等“一法三规一条例”的落实，各行业对数据加密技术、产品和服务的重视程度不断提升。

本文聚焦十种数据存储加密技术，希望能够帮助读者快速了解数据存储加密技术的全貌，并在用户需要通过“加解密技术”进行自身核心数据资产的安全保护时，在场景适用性判断、相关技术与产品选型等方面提供参考和帮助。

实战与合规双驱动

在“实战与合规”共同驱动下，数据安全建设作为一种“不希望数据发生什么”的业务需求逐步被重视，将与之匹配的安全技术应用到信息系统业务场景，迫在眉睫。

从实战角度看，当下的数据泄露事件频发，面对新安全挑战与新合规要求，企业安全防护体系正在从“以网络为中心的安全”，升级到“侧重以数据为中心的安全”。而密码作为网络安全的杀手锏技术和核心支撑，天然具备安全防护基因，是实现数据安全最经济、最有效、最可靠的手段。尤其在政务、金融、交通文旅、央企、工业等行业，个人信息保护、商业秘密保护、国密合规等方面的建设亟待加速。

聚焦到数据实际流转过程，在每个关键节点上，作为生产要素的数据都面临着众多威胁。通过对数据流转中的威胁分析，选取关键安全增强点进行加密，用这种方式可以为数据重新塑造一个虚拟边界，实现防范内外部安全威胁，是当前数据安全实战防护的有效手段。

从合规角度看，数据安全技术迎来发展新趋势：第一，数据安全技术正逐步获得国家政策重视以及用户认可，从顶层规划到配套法律法规的不断加码，企业层面越发重视加密技术应用；第二，数据安全技术与业务的结合越来越紧密，业务应用层正成为数据安全建设的重点，将成为解决企业在平衡合规压力、改造复杂业务和信息系统困境的关键所在；第三，数据安全技术应用扩展到各领域行业，如国家标准GB/T -2021《信息安全技术 信息系统密码应用基本要求》的发布，替代行标GM/T 0054-2018《信息系统密码应用基本要求》，密码技术的行业及场景适用性进一步延伸。

数据安全本质上是由攻防对抗推动发展的，实战是加密技术应用的内在需求，合规为加密技术推广提供加速引擎，在实战与合规双驱动下，数据存储加密技术在业务中的应用成为大势所趋。

寻找数据流转中的安全增强点

数据存储加密防护的难点，在于如何对流转中的数据主动实施加密等保护，确保数据不被泄露或篡改，这里的数据包括结构化与非结构化等类型。结构化数据一般是指可以使用关系型数据库存储和表示，表现为二维形式的数据，一般来讲，结构化数据也就是传统数据库中的数据形式；非结构化数据，就是指没有固定结构的数据，包括各种文档、图片、视频、音频等。

传统的“数据库加密”往往体现为密文数据存储到数据库后的情形，一般局限于结构化数据，而在企业实战化场景中，数据库只是数据处理的一个环节，因此，传统的“数据库存储加密”是“数据存储加密”的子集。

要对比各种数据存储加密技术，炼石认为有多项评判指标：第一，应满足加密防护能力融入业务流程，面向广泛信息化应用，在复杂场景中提供有效防护；第二，能够融合访问控制、审计等其他安全技术，实现安全机制可靠有效；第三，优秀的权限控制能力，能够根据不同属性的人群，展开细粒度权限控制，实现权限最小化，有效防范内部越权、外部黑客拖库等风险；第四，在节约企业成本，不影响企业业务正常运营的情况下，敏捷部署实施高性能的数据安全防护，有效控制实施风险。本文以“数据”为中心，沿着数据流转路径，在典型B/S三层信息系统架构的多个数据业务处理点基础上，综合业内数据加密技术现状，选取了10种代表性的存储加密技术，并对其实现原理、应用场景，以及相应的优势与挑战进行解读分析。

在实际应用中，要结合用户场景和适用性需求，选择一种或者组合多种存储加密技术，优势互补，打造“以密码技术为核心，访问控制、审计等多种安全技术相互融合”的数据安全防护体系，从而满足企业多场景的实战化及合规需求。

十种数据存储加密技术的特性分析

技术一：DLP终端加密

原理解析

部署位置：终端

原理：DLP（Data Leakage Prevention）终端加密技术，目的是管理企业终端上（主要是PC端）的敏感数据，其原理是在受管控的终端上安装代理程序，由代理程序与后台管理平台交互，并结合企业的数据管理要求和分级分类策略，对下载到终端的敏感数据进行加密，从而将加密应用到企业数据的日常流转和存储中。信息被读取到内存中时会进行解密，而未授权复制到管控范围外则是密文形式，主要适用于非结构化数据的保护。

应用场景

DLP终端加密技术主要适用于企业终端数据的安全管理，在原有安全防护能力之上，可有效增强以下场景的数据防护能力：

1）操作失误或无意识外发导致技术数据泄漏；2）通过打印、剪切、复制、粘贴、另存为、重命名等操作泄漏数据；3）离职人员通过U盘、移动硬盘等方式随意拷走机密资料；4）移动笔记本被盗、丢失或维修等造成数据泄漏。

优势

1、文件外发强管控。和其他终端安全技术相比，能够强制实现重要敏感文件的外发管控，从而实现对数据的“事前防护”，可防范一定程度的“有意泄露”。

挑战

1、终端适配困难、运维成本高。企业终端一般具有操作系统众多、终端类型复杂、文档使用场景多样等特点，终端加密在落地应用时，易出现终端兼容适配困难、运维成本较高等问题。在移动终端，由于存在权限问题，技术落地难度大。

技术二：CASB代理网关

原理解析

部署位置：终端-应用服务器之间

原理：CASB代理网关（Cloud Access Security Broker）是一种委托式安全代理技术，将网关部署在目标应用的客户端和服务端之间，无需改造目标应用，只需通过适配目标应用，对客户端请求进行解析，并分析出其包含的敏感数据，结合用户身份，并根据设置的安全策略对请求进行脱敏等访问控制，可针对结构化数据和非结构化数据同时进行安全管控。

应用场景

随着云的普及，传统的IT架构正在发生变化。企业很多业务系统都托管在云服务商处，日常的很多工作，比如HR、社保、报销、OA等工作事务的管理都有相应的SaaS服务可以采用，企业想要享受便捷的云服务，又不想失去对自身数据的控制权，则可以采用CASB代理网关技术。例如，最常见的一种安全防护场景是：能够识别出一个用户访问云资源是使用的私人账号还是企业账号，以防止敏感数据从企业资源转移到私人资源。

优势

1、与业务结合的数据安全保护。CASB代理网关位于应用服务和用户端之间，该位置可以获取到丰富的业务上下文，可以基于用户、资源、操作和业务属性，灵活利用访问者所对应属性集合决定是否有权访问目标数据，比如部门、区域、职位、动作、目标数据类型、时间，以及其他条件等，从而在复杂业务场景下实现对数据的安全防护。

挑战

1、实施成本较高。为实现从客户端请求中解析用户在应用中的操作含义，需适配目标应用，适配工作量取决于目标应用的数量和复杂度以及安全管控粒度。

技术三：应用内加密（集成密码SDK）

原理解析

部署位置：应用服务器

原理：应用内加密（集成密码SDK）是指应用系统通过开发改造的方式，与封装了加密业务逻辑的密码SDK进行集成，并调用其加解密接口，使目标应用系统具备数据加密防护能力。

应用场景

通常情况下，当应用系统仅对数量有限的敏感数据存在加密需求时，适用于使用应用内加密（集成密码SDK）技术。这里主要包含场景：需要加密处理的敏感数据代码逻辑在业务系统中分布不多，或者需要加密处理的敏感数据对应的表或字段相对较少。

优势

1、适用范围广。应用系统的开发商可以自行解决数据加解密的绝大多数问题，对数据库系统本身或第三方的数据安全厂商没有依赖；

2、灵活性高。应用服务端加密，主要是针对于应用服务器的加密方式，因为应用服务端加密可与业务逻辑紧密结合，在应用系统开发过程中，灵活地对相关业务中的敏感数据进行加密处理，且使用的加密函数、加密密钥等均可以根据业务逻辑需求进行灵活选择。

挑战

1、需要对应用系统开发改造。应用系统加密的实现需要应用系统开发投入较大的研发成本，时间周期较长，后期实施和维护成本较高，也面临大量代码改造带来的潜在业务风险；

2、对应用开发人员要求高。对业务开发人员来说，正确合规使用密码技术具有一定门槛。比如在实际应用中，会出现应用开发人员密钥使用不合规或安全风险等情况。

技术四：应用内加密（AOE面向切面加密）

原理解析

部署位置：应用服务器

原理：应用内加密（AOE面向切面加密）技术，能以免开发改造方式，实现应用系统中结构化数据和非结构化数据的存储加密，并提供细粒度访问控制、丰富脱敏策略、以及数据访问审计功能，为应用打造全面有效且易于实施的数据安全保护。其实现原理是将数据安全插件部署在应用服务中间件，结合旁路部署的数据安全管理平台、密钥管理系统，通过拦截入库SQL，将数据加密后存入数据库。

应用场景

应用内加密（AOE面向切面加密）主要适用于企业在应用层想要实现免开发改造的、可敏捷实施的高性能数据安全防护。该加密方式支持结构化/非结构化数据的加密，可与应用开发解耦，灵活性高。进一步的，该加密方式可支持分布式部署、集中式管控，既可针对单个应用防护，也可以针对上百个应用的批量保护。

优势

1、数据加密与业务逻辑解耦。该加密技术通过AOE面向切面加密方式，可以将安全与业务在技术上解耦，又在能力上融合交织，拥有高度灵活性；

2、不影响业务运营。应用内加密（AOE面向切面加密）适用于“应用免改造”的实战需求，能够实现以配置的方式敏捷部署实施，对应用的连续运行无影响。同时与其他加密技术相比，该技术对数据加解密的影响最低；3、基于细粒度权限控制的数据安全防护。该加密技术可针对应用打造“主体到用户，客体到字段”的安全防护体系，能够根据不同属性的人群，实施细粒度的权限控制，实现对企业内部人员的敏感数据访问最小化授权。

挑战

1、对应用程序编程语言和框架需要做适配。企业实际应用系统错综复杂，涉及到多样化的编程语言与框架，这对AOE面向切面加密技术的实现提出较高的工程化实现挑战。

技术五：数据库加密网关

原理解析

部署位置：应用服务器-数据库之间

原理：数据库加密网关是部署在应用服务器和数据库服务器之间的代理网关设备，通过解析数据库协议，对传入数据库的数据进行加密，从而获得保护数据安全的效果。

应用场景

数据库加密网关可以为数据库提供“入库加密、出库解密”的防护，可以建立数据库用户的访问控制，实现企业内部人员的敏感数据访问授权精细化，可以防数据库拖库以及拦截非法SQL。

优势

1、应用系统与加解密功能分离。相比较于传统的应用内加密（集成密码SDK）技术，数据库加密网关技术具有独立性，能够使用户从高度复杂且繁重的加密解密处理逻辑的开发工作解放出来。

挑战

1、存在一定的法律风险。对于Oracle等采用私有通信协议（不开源）的商业数据库，安全厂商提供的数据库加密网关破解协议的方案存在法律风险；

2、高性能和高可用实现难度大。数据库加密网关增加了额外的处理节点，在大数据量和高并发访问场景下，要实现高性能、高可用，面临工程化实现挑战。

技术六：数据库外挂加密

原理解析

部署位置：数据库

原理：数据库外挂加密通过针对数据库定制开发外挂进程，使进入数据库的明文先进入到外挂程序中进行加密，形成密文后再插入数据库表中。这种技术使用“触发器”+“多层视图”+“扩展索引”+“外部调用”的方式实现数据加密，可保证应用完全透明。通过扩展的接口和机制，数据库系统用户可以通过外部接口调用的方式实现对数据的加解密处理。视图可实现对表内数据的过滤、投影、聚集、关联和函数运算，在视图内实现对敏感列解密函数的调用，实现数据解密。

应用场景

如果查询涉及的加密列不多，查询结果集中，且包含的数据记录也相对不多时，可以考虑使用数据库外挂加密技术对数据库进行加密。

优势

1、独立权控体系。使用数据库外挂加密技术，可以在外置的安全服务中提供独立于数据库自有权控体系之外的权限控制体系，适用于对“独立权控体系”有相关需求的场景，可以有效防止特权用户（如DBA）对敏感数据的越权访问。

挑战

1、仅支持Oracle等少量数据库类型。数据库外挂加密，目前大多数的技术实现形式，存在功能性依赖，仅支持开放高级接口的Oracle等少量数据库；

2、数据库性能损耗较高。数据库外挂加密是通过触发器、多级视图，进行外部接口调用来实现加解密，触发器或视图的运行机制要求对加密表中的每一条数据中的每个加密列的读写都会进行外部接口调用，因此，当遇到比如“查询中涉及的加密列较多”等情况时，会对数据库的读写性能存在明显影响；

3、可扩展性差。在业务变化引起数据库表结构发生变化时，需要对外挂程序业务逻辑进行调整，甚至需重新定制开发，存在后期维护成本。

技术七：TDE透明数据加密

原理解析

部署位置：数据库

原理：透明数据加密（Transparent Data Encryption，简称为TDE）是在数据库内部透明实现数据存储加密、访问解密的技术，Oracle、SQL Server、MySQL等数据库默认内置此功能。数据在落盘时加密，在数据库内存中是明文，当攻击者“拔盘”窃取数据，由于数据库文件无法获得密钥而只能获取密文，从而起到保护数据库中数据的效果。

应用场景

透明数据加密技术适用于对数据库中的数据执行实时加解密的应用场景，尤其是在对数据加密透明化有要求，以及对数据加密后数据库性能有较高要求的场景中。在实际使用中，可根据Oracle等内置TDE的密钥管理接口，将默认“软密钥钱包”升级为外部密钥管理系统，以增强密钥安全性。

优势

1、独立权控体系。与数据库外挂加密类似，使用插件形式的透明数据加密技术，同样可以在外置的安全服务中提供独立于数据库自有权控体系之外的权限控制体系；

2、性能损耗较低。透明数据加密技术只对数据库引擎的存储管理层进行了性能增强，不影响数据库引擎的语句解析和优化等处理过程，数据库自身性能得以更好保留，透明数据加密技术在数据库加密技术中，性能损耗较低。

挑战

1、防护颗粒度较粗。TDE本身是一种落盘加密技术，数据在内存中处于明文状态，需要结合其他访问控制技术使用。在实战场景中难以防范DBA等风险；

2、数据库类型适用性上有限制。透明数据加密因使用插件技术，对数据库的版本有较强依赖性，且仅能对有限几种类型的数据库实现透明数据加密插件，在数据库类型适用性上有一定限制。

技术八：UDF用户自定义函数加密

原理解析

部署位置：数据库

原理：UDF（User Defined Function）用户自定义函数是在已有数据库功能的基础上扩展更丰富的业务需求，其原理是在数据库支持的形式上，通过定义函数名称及执行过程，实现自定义的处理逻辑。UDF用户自定义函数加密，是通过UDF接口实现数据在数据库内的加解密。

应用场景

UDF用户自定义函数加密，作为一种在数据库侧的高灵活加解密集成方式，适用于某些数据库需要定制加解密的场景，尤其是实现基于国密算法的数据加解密。

优势

1、扩展能力强。该加密技术适用于对数据有“定制化实现”的场景化需求，能够根据用户的业务需求，对数据实现丰富多样的加解密处理。

挑战

1、通用性低。该加密技术需要根据不同数据库的类型，做相对应的定制化实现，并且在存储过程或SQL中加以调用。

技术九：TFE透明文件加密

原理解析

部署位置：文件系统

原理：透明文件加密（Transparent File Encryption，简称为TFE），是在操作系统的文件管理子系统上部署加密插件来实现数据加密，基于用户态与内核态交付，可实现“逐文件逐密钥”加密。在正常使用时，计算机内存中的文件以明文形式存在，而硬盘上保存的数据是密文，如果没有合法的使用身份、访问权限以及正确的安全通道，加密文件都将以密文状态被保护。

应用场景

透明文件加密技术几乎可以适用于任何基于文件系统的数据存储加密需求，尤其是原生不支持透明数据加密的数据库系统。但是，由于文件系统加密技术无法提供针对数据库用户的增强权限控制，因此对于需要防范内部数据库超级用户的场景并不适用。

优势

1、可对应用进程授权。透明文件加密的防护颗粒度较细，可以适用于对应用进程有绑定需求的场景，只有授权的“白名单”应用进程访问文件时，才能获得明文，而未授权应用只能获取密文。

挑战

1、管理员风险。由于文件系统加密技术的数据库无关性，因此，该加密技术不具备对系统用户增强的权限控制能力，也无法防止内部人员包括系统管理员和数据库DBA对加密数据的访问；

2、高性能实现难度大。透明文件加密技术因为是在操作系统的文件管理子系统上部署加密插件来实现数据的加密功能，因此会增加操作系统中用户态的处理环节，从而对数据库系统整体性能造成部分损失，要实现到高性能面临工程化挑战。

技术十：FDE全磁盘加密

原理解析

部署位置：文件系统

原理：全磁盘加密（Full Disk Encryption，简称FDE）是指通过动态加解密技术，对磁盘或分区进行动态加解密的技术。FDE的动态加解密算法位于操作系统底层，其所有磁盘操作均通过FDE进行：当系统向磁盘上写入数据时，FDE首先加密要写入的数据，然后再写入磁盘；反之，当系统读取磁盘数据时，FDE会自动将读取到的数据进行解密，然后再提交给操作系统。

应用场景

全磁盘加密技术适用于磁盘上所有数据（包括操作系统）进行动态加解密的场景，但由于不能提供针对用户的增强权限控制，无法满足对内部超级用户泄露敏感数据的风险防范需求。

优势

1、性能优势突出。全磁盘加密技术通过操作系统内核层（或者存储设备自身的物理结构）实现，能够最大化减少加解密损耗，对上层业务服务提供性能最高的文件加解密服务；

2、部署、实施简单。全磁盘加密仅需对进入磁盘的数据进行加密，部署和实施简单高效。

挑战

1、数据防护颗粒度粗。该加密技术因为缺少访问控制能力，因此，一旦磁盘挂载口令泄露，就有数据泄露的风险，仅能防范“拔硬盘”攻击。

综上所述，十种数据存储加密技术在应用场景以及优势挑战方面各有侧重点，DLP终端加密技术侧重于企业PC端的数据安全防护；CASB代理网关、应用内加密（集成密码SDK）、应用内加密（AOE面向切面加密）侧重于企业应用服务器端的数据安全防护；数据库加密网关、数据库外挂加密、TDE透明数据加密、UDF用户自定义函数加密则侧重于数据库端的数据安全防护；TFE透明文件加密、FDE全磁盘加密则侧重于文件系统数据安全防护。

迎接数字时代，激活数据要素潜能，数据安全建设工作势在必行，在了解数据安全防护的必要性和迫切性的前提下，具体分析相关的数据存储加密技术原理，探究数据加密技术具体应用，提出更合理、更安全的数据防护措施，能够全面保障数据的安全性，助力我国数字化建设进程的健康发展。作为数据安全创新公司，炼石也将不断探索技术创新思路，提供丰富的数据存储加密技术及方案，为网络信息行业健康发展助力。

---

---

相关标签： 深度探讨安卓系统开发中的数据存储技术、

上一篇：全面解析安卓系统开发中的数据管理方法

下一篇：揭秘安卓系统开发中的多媒体处理技术要点