| 关键 API | GenerateDataKey（返回明文 DEK 与密文 DEK） |
|---|---|
| 存储内容 | 数据密文 + DEK 密文 + 密钥版本标识 |
| 解密流程 | KMS 解 DEK 密文 -> 本地用明文 DEK 解密数据 -> 丢弃明文 |
流程（文本）
流程（文本）
GenerateDataKey -> (plaintext DEK, encrypted DEK)
encrypt(data, plaintext DEK) -> data_ciphertext
store(data_ciphertext, encrypted DEK, key_version)
wipe plaintext DEK from memory as soon as possible明文数据密钥不得写入磁盘或日志；同时评估 KMS 调用配额，避免高并发场景解密失败。