在Dify的导出流程中，数据安全至关重要。用户导出CSV、JSON或PDF文件时，若不加以保护，原始数据将完全暴露。因此，必须在导出瞬间嵌入对称加密机制，确保文件落地即加密，非授权用户无法解密。

从实际配置角度来看，实现这一加密保护并不复杂，只需按照以下步骤操作即可。

确认导出文件类型与加密触发条件

首先，进入「工作流设置 → 导出节点」，检查当前导出任务绑定的文件格式。这里有一个硬性条件：只有导出类型为 【CSV/JSON/PDF】 时，系统才会自动启用内置的对称加密模块。Excel（.xlsx）因结构复杂，暂不支持自动加密，如需加密可手动转为CSV后再导出。

另外，如果导出节点上游连接的是「数据库查询」或「API响应解析」这类组件，加密功能默认处于开启状态。但如果上游是「本地上传文件」或「文本输入框」，则需要手动勾选「启用导出加密」开关，这一步不能遗漏。

配置AES-256加密参数

接下来是加密参数配置，Dify提供了三种方式，可根据实际场景选择。

方法一：使用系统自动生成密钥
在导出节点右侧的「安全选项」中，点击「生成新密钥」，系统会立即生成一个32字节的AES-256密钥，并在界面上显示前8位（例如 a7f2b9e1...）。完整密钥将同步写入租户的密钥管理服务（KMS），且不可查看。该密钥将用于本次导出及后续同名文件的重导出，既省心又安全。

方法二：绑定已有密钥
如果已有现成密钥，可点击「导入密钥」，粘贴一个Base64编码的32字节密钥（例如 U3VwZXJTY3JldEtleUZvckFJQXBwbGljYXRpb24=），然后点击「验证」。若格式不正确或长度不符，系统会直接报错“密钥必须为32字节Base64字符串”，否则导出将跳过加密，直接生成明文文件，这绝非小事。

方法三：指定密码派生密钥（仅限PDF导出）
如果导出的是PDF文件，还有一个更灵活的选择：勾选「使用用户密码派生密钥」，然后输入一个固定口令（例如 Dify@2026）。系统会使用PBKDF2-HMAC-SHA256算法，迭代100,000次生成AES密钥。这种方式便于人工解密，但安全性略低于随机生成的密钥，适合对解密便利性要求更高的场景。

设置密钥分发与访问控制

加密完成之后，接下来需要确定密钥的分发方式以及解密权限。

第一步：选择密钥分发方式
在「密钥分发策略」下拉菜单中，必须选择一项：

• 「仅限当前用户下载时解密」：文件加密后，只有该用户在登录状态下点击下载链接，Dify前端才会自动调用密钥解密并流式传输。简而言之，谁导出谁才能查看。
• 「绑定角色权限」：从下拉列表中选择「协作者」或「管理员」，对应角色的成员下载时才能解密。适合团队协作场景。
• 「禁用自动解密」：文件以加密状态直接存储在对象存储中，需要调用API传入密钥参数才能获取明文。此方式适合对接第三方系统，安全级别最高。

第二步：启用下载审计日志
勾选「记录每次解密请求」后，系统会自动写入审计日志，字段包括 timestamp、user_id、action（"export.decrypt"）、ip_address、file_name。请注意，该日志为强制开启，无法关闭，属于合规性必需项，务必牢记。

第三步：配置失败响应行为
当用户无权解密时，Dify会返回HTTP 403状态码，并在响应体中携带错误码 ERR_EXPORT_DECRYPT_DENIED。此行为为硬编码，不会暴露任何密钥或加密细节，你无法修改，也无需修改。

执行加密导出并验证结果

所有配置完成后，点击「运行工作流」，等待导出节点状态变为「已完成」，即可在输出面板中点击「下载」按钮。

如果之前选择了「仅限当前用户下载时解密」，浏览器将直接打开明文文件，CSV可表格预览，PDF可在线渲染，非常便捷。如果选择了「禁用自动解密」，则下载得到的文件扩展名末尾会自动追加 .encrypted 后缀（例如 data.csv.encrypted），用文本编辑器打开可看到乱码头部，说明加密已生效。

想快速验证加密状态？运行以下Python脚本即可：

from Crypto.Cipher import AES
with open("data.csv.encrypted", "rb") as f:
    header = f.read(16)
    print(header.hex())  # 应输出类似 'd8a2f1c7e9b4a0d2' 的随机十六进制串