文件级加密避免一刀切的资源浪费

如果对整个磁盘不加区分地统一加密，所有文件不论重要与否都要承担加密解密的性能开销，而实际场景中真正需要保护的往往只是其中一小部分敏感数据。文件级加密（FBE）针对每一个文件单独加密，甚至可以按用户划分不同密钥，这样系统可以只对真正需要保护的文件付出加密代价，不重要的文件完全不受影响；文件夹级加密是这个思路的延伸，但很多实现内部仍然是逐个文件单独加密，而不是把整个文件夹压成一个加密对象。发散：这是”安全投入应该按数据的敏感程度分层，而不是整齐划一”这一原则的具体体现——过度加密和不加密都是浪费，前者浪费性能，后者浪费安全性，真正的成本最优解永远是先识别哪些数据值得被重点保护。