从数据库泄露、密钥轮换和故障边界说起，解释为什么需要 KMS，以及信封加密如何把密钥管理这件事做得更稳。

这篇文章把 AWS KMS、data key、encrypted data key、EncryptionContext 以及“为特定用户托管私钥”的工程设计串成一条完整链路，尽量用人话讲清楚它们各自该放在哪里、由谁负责、什么时候该用、什么时候别乱用。