备份包用 openssl 加密 口令丢了三年数据打不开

openssl enc -aes-256-cbc -d -in backup.tar.gz.enc \
  -out backup.tar.gz
# 口令从密码库取，别写进脚本

备份包是 .enc 后缀，接手的人找不到口令，openssl 解密直接报 bad decrypt，里面是三年前的订单数据。先别急着动参数，把报错原文和时间点记下来，顺序反了容易白折腾。

原因不复杂，加密口令只存在离职同事的笔记里，没有进密码管理器，也没有第二个人知道。加密本身没问题，密钥管理断了等于数据丢了。

「备份加密口令」改完先别急着全量，挑一台机器放半天，真有问题这段时间就能看出来。改动写完就同步给同事，下一个人踩同一个坑，成本还是你的。

验证用真实数据走一遍，测试数据太干净，边界情况根本碰不到。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。

处理上按这个顺序：把口令存进团队密码库 至少两个人有权限；口令和备份分开存放 不要写在同一个目录的 readme 里；接手时先做一次解密验证 确认口令可用。

改完只确认一件事：用密码库里的口令能解出一个完整的 tar 包，解压无报错。