概念Envelope Encryption / KEK / 两层密钥
信封加密
云安全领域的成熟加密模式，通过数据密钥（Data Key）加密实际数据、主密钥（KEK）加密数据密钥的两层分工，实现密钥托管与数据托管的职责分离，在性能与安全之间取得平衡
时间轴 (近 90 天)
9月14日
信封加密（Envelope Encryption）不是WorkOS独创，而是云安全领域被广泛验证的成熟模式
待验证50%
9月14日
信封加密的核心是两层密钥分工：数据密钥（Data Key）直接用于加密实际敏感数据，主密钥（KEK，Key Encryption Key）用于加密和解密数据密钥
待验证50%
9月14日
为每条记录或每个数据集生成独立的数据密钥可以隔离风险，单个密钥泄露不会波及全部数据
待验证50%
9月14日
信封加密中加密大量数据由本地数据密钥完成速度快，与外部服务的交互仅限于加解密体积极小的数据密钥，从而控制网络开销和延迟
待验证50%
9月14日
「数据留在本地、密钥交由托管」是一种兼顾安全、合规与工程效率的架构范式
待验证50%
全部知识事实 (6)
待验证
dotenv-vault等工具采用信封加密（Envelope Encryption）模式，使用AES-256加密敏感值，只将密文提交到版本库
80%待验证信封加密（Envelope Encryption）不是WorkOS独创，而是云安全领域被广泛验证的成熟模式
50%待验证信封加密的核心是两层密钥分工：数据密钥（Data Key）直接用于加密实际敏感数据，主密钥（KEK，Key Encryption Key）用于加密和解密数据密钥
50%待验证为每条记录或每个数据集生成独立的数据密钥可以隔离风险，单个密钥泄露不会波及全部数据
50%待验证信封加密中加密大量数据由本地数据密钥完成速度快，与外部服务的交互仅限于加解密体积极小的数据密钥，从而控制网络开销和延迟
50%待验证「数据留在本地、密钥交由托管」是一种兼顾安全、合规与工程效率的架构范式
50%