访问认证
识别用户、角色、来源、业务系统和临时授权上下文。
数据库访问治理链：认证、防火墙、重写、脱敏、水印、国密、审计
DBNginx 在业务系统与数据库之间完成链式安全管理，业务侧零代码免改造，即可把访问身份、SQL 风险、敏感数据和国密保护纳入统一入口。
访问认证
SQL 治理
国密保护
审计解释
链式治理，一次访问按顺序经过多道控制
一条数据库访问链完成认证、检测、改写、保护、链路扩展、审计和解释。
SQL 防火墙
用规则、启发式识别和模型识别拦截攻击与异常访问。
SQL 重写
按策略追加行过滤、租户条件、盲索引查询和路由提示。
脱敏水印
对结果做字段脱敏、导出标识、责任主体水印和泄露样本回溯。
透明加解密
在网关侧完成国密算法加密、解密、密钥策略调用和密码设备对接。
链路动态扩展
在受控边界内补充业务上下文、风险标签和审计字段。
审计解释
记录命中规则、执行动作、输出结果和追责证据。
访问认证与细粒度授权
把数据库账号从“直接给人”变成“统一入口托管”，再按业务身份、来源、时间窗口和数据资源授权。
主体维度
支持用户、角色、来源地址、业务系统和审批单据进入访问判断。
- 统一身份承接
- 角色与项目授权
- 临时访问到期失效
资源维度
覆盖库、表、列、行、敏感等级、数据域和共享资源池。
- 列级控制
- 行级过滤
- 元数据可见性
动作维度
按查询、更新、删除、导出、批量操作和高消耗查询判断是否允许。
- 最小权限
- 只读边界
- 异常动作拦截
SQL 防火墙与智能攻击识别
结合 SQL 语义、参数形态、访问主体、启发式规则和模型自动识别，在执行前阻断危险访问。
确定性规则
识别注入特征、多语句、异常注释、危险函数和参数逃逸风险。
- 注入检测
- 危险函数
- 规则命中解释
启发式识别
从 SQL 结构、谓词复杂度、访问范围、参数分布和历史行为识别异常攻击模式。
- 异常语义识别
- 大范围扫描
- 变形攻击线索
模型自动识别
对未知 SQL 风险、疑似注入、异常访问意图和低频高危行为给出自动识别结果。
- 风险意图识别
- 未知模式发现
- 风险评分输出
业务风险
识别无条件更新删除、大范围扫描、跨租户查询和高风险导出。
- 危险 DML 拦截
- 批量操作限制
- 导出场景管控
处置动作
按场景执行拒绝、审批、只审计、限流、降级或转入专用资源池。
- 执行前拦截
- 灰度观察
- 处置证据留存
SQL 重写、数据脱敏、数据水印与回溯
在不改业务代码的前提下，把访问条件、敏感输出、责任标识和水印回溯放到网关侧统一处理。
条件补强
按租户、部门、项目和数据域追加访问边界。
路由改写
把报表、共享查询和批处理送往合适资源池。
字段脱敏
按角色显示明文、部分脱敏、隐藏或拒绝访问。
输出水印
对结果集、报表导出、共享查询和截图场景附加可见或隐式追踪标识。
水印回溯
将水印 key 与用户、来源、库表列、策略版本和 trace id 关联。
全程审计
记录重写前后语义、最终输出控制动作和回溯证据。
报表导出
对 BI、运营报表和临时分析结果嵌入水印，区分不同导出人、时间窗口和业务场景。
- 导出追踪标识
- 主体与场景绑定
- 批量访问留痕
共享取数
在共享库自助查询、客服工单、跨部门协作和合作方交付中保留样本级溯源线索。
- 共享资源可追责
- 截图与文件溯源
- 合作交付证据
泄露回溯
发现外泄截图、文件或报表后，提取水印线索并通过审计 trace 还原责任主体、访问资源和策略命中。
- 水印 key 查询
- trace 聚合
- 整改闭环
透明加解密与密码设备对接，零代码免改造
业务系统保持原有 SQL 调用和访问习惯，DBNginx 在网关侧完成国密算法加密、解密、搜索改写、脱敏输出、审计留痕，并可对接主流密码卡、密码机、HSM 与 KMS。
写入保护
敏感字段进入数据库前按策略执行透明加密，降低明文落库风险。
- 透明保护
- 密钥策略联动
- 按数据等级启用
查询兼容
对等值查询、索引字段和参数做网关侧转换，减少业务系统改造。
- SQL 调用习惯不变
- 盲索引查询
- 参数自动处理
结果控制
返回前按授权执行解密、脱敏、水印或拒绝输出，形成完整证据链。
- 按角色解密
- 脱敏后输出
- 审计可追溯
密码设备生态
支持对接主流国密密码卡、密码机、HSM 与密钥管理平台，适配三未信安、渔翁信息等生态。
- 密钥不出设备
- 硬件加解密调用
- 设备调用审计
审计解释
同时记录发生了什么，以及允许、拒绝、改写、脱敏、水印、回溯、加密或解密的策略依据。
策略解释
解释认证、权限、敏感命中、启发式识别、模型识别、重写动作、路由和结果控制。
审计事件
按用户、数据等级、风险类型、业务场景、trace id 和处置动作查询。
水印回溯
按水印 key、trace id、主体、资源和策略版本还原外泄样本来源。
追责证据
还原一次请求的主体、SQL、策略、透明加解密处理、脱敏水印和输出结果。
把安全策略从应用代码移到统一入口
用一条访问治理链完成认证、防火墙、重写、脱敏、水印回溯、透明加解密和审计解释。