| 静态保护 | 口令加密私钥，或存放于 KMS/HSM，密钥材料不出安全边界 |
|---|---|
| 运行时保护 | 最小权限进程、独立账号、禁止日志与内存转储暴露 |
| 流程保护 | 访问审批、操作留痕、定期轮换与演练 |
加密私钥（静态加密示例）
加密私钥（静态加密示例）
openssl pkey -in key.pem -aes-256-cbc -out key.enc.pem
openssl pkey -in key.enc.pem -passin env:KEY_PASS -noout -check静态加密主要防范介质与备份泄露；运行中的应用仍需解密使用，运行时保护依赖主机与权限控制。