Личные сообщения на сайте — нормально ли, что тот, кто имеет доступ к БД, может прочитать всю переписку? Или нужно как-то шифровать ЛС?
Не нужно давать доступ к базе продакшна разработчику - вот и все.
Нет не нормально. Лучше уже шифровать сообщения. Хотя если там не чего такого нету то можете и так оставить.