加密集合

插入操作

在插入文档时，每个索引字段需要向元数据集合写入两次。

• 一次写入 ESC

• 一次写入 ECOC

更新操作

在更新文档时，每个索引字段需要向元数据集合写入两次。

• 一次写入 ESC

• 一次写入 ECOC

删除操作

在删除文档时，索引字段不需要额外的写入。

最佳实践

• 不要加密不需要加密的字段。大多数数据只需要加密一小部分字段，例如包含个人身份信息的字段。

• 如果等价查询对于您的用户来说足够的话，不要在字段上启用范围查询。

• 对于已启用范围查询的加密字段，请检查字段配置，特别是最小值、最大值和精度参数。为范围查询设置严格的界限可以大大减少这些字段对性能的影响。

• 对您的数据进行建模并对其进行原型设计，以确定您的部署的实际存储和写入增加。

安排元数据压缩

作为最佳实践，记录以下信息

• encfields：每个文档的加密字段数量。

• docinserts：自上次压缩以来插入的文档数量。

• valinserts：自上次压缩以来插入的唯一字段/值对数量。

为了通过至少 t 个文档减小 ESC 元数据集合的大小，请在以下公式满足时运行元数据压缩

(encfields · docinserts) - valinserts ≥ t

每个文档的加密字段数量乘以自上次压缩以来的插入数量，减去自上次压缩以来插入的所有文档中的唯一字段/值对数量，应大于或等于要从 ESC 中删除的文档数量。

运行元数据压缩

您必须手动运行元数据压缩。使用 mongosh 并运行 db.collection.compactStructuredEncryptionData() 命令

const eDB = "encryption"
const eKV = "__keyVault"
const secretDB = "records"
const secretCollection = "patients"
const localKey = fs.readFileSync("master-key.txt")
const localKeyProvider = { key: localKey }
const queryableEncryptionOpts = {
  kmsProviders: { local: localKeyProvider },
  keyVaultNamespace: `${eDB}.${eKV}`,
}
const encryptedClient = Mongo("localhost:27017", queryableEncryptionOpts)
const encryptedDB = encryptedClient.getDB(secretDB)
const encryptedCollection = encryptedDB.getCollection(secretCollection)
encryptedCollection.compactStructuredEncryptionData()

{
  "stats": {
     ...
  },
  "ok": 1,
  ...
}

您可以使用 mongosh 和运行 db.collection.totalSize() 命令来检查元数据集合的大小。

db.enxcol_.patients.esc.totalSize()

1407960328