新手做多租户网站隔离部署，先了解哪些基础？

刚开始设计多租户网站隔离部署方案时，最容易误解的一点是：只要每个客户使用不同网址，就算完成了隔离。实际上，网址只能帮助系统识别租户，不能自动阻止数据串读、文件误取或后台越权。一个可用的方案，至少要同时考虑访问入口、应用逻辑、数据库、文件、缓存、任务和运维权限。

先理解“租户”与“隔离”

租户可以是企业、学校、门店或项目组。每个租户通常拥有独立的用户、配置、内容和业务记录，但网站程序可能仍然共用。隔离则是让一个租户的请求、数据和资源不能被另一个租户意外访问。

隔离强度大致分为三类：

• 逻辑隔离：多个租户共用应用和数据库，通过租户标识区分记录，成本低、维护方便，适合数量较多且业务结构相近的客户。
• 数据库隔离：每个租户使用独立数据库或独立数据库用户，边界更清晰，但升级、连接管理和备份数量会增加。
• 运行环境隔离：为重要租户单独运行应用实例、容器或服务器，故障影响范围较小，适合合规要求高、流量差异大的场景。

选择时要看数据敏感度、租户数量、预算和运维能力，不要一开始就把所有客户都放进最复杂的架构。

多租户网站隔离部署方案的四个基础边界

1. 入口边界：先确定租户身份

常见入口包括独立域名、二级域名或路径。请求进入反向代理后，可以根据主机名查找租户配置，再将租户标识写入服务端上下文。应用后续查询、写入和生成文件路径时，都应使用这个上下文，而不是信任浏览器提交的租户参数。

例如，用户访问某个企业的子域名，系统应从服务端配置中确认该域名属于哪个租户；如果请求中的租户编号与域名归属不一致，应直接拒绝。这样可降低修改表单参数造成越权的风险。

2. 数据边界：每次查询都要带租户条件

共享表结构最容易出现遗漏条件的问题。订单、成员、文章、设置等表应有明确的租户字段，并在服务层统一封装查询入口。后台接口不能只根据记录编号查询，还要同时校验当前租户是否拥有该记录。

如果采用独立数据库，则要建立租户与数据库连接配置的映射，并限制应用账号权限。独立数据库并不代表绝对安全，仍需防止管理员接口、导出功能和跨库脚本误用。

3. 文件与缓存边界：不要只隔离数据库

图片、附件、导出文件应按租户划分目录或对象存储前缀，例如使用不可猜测的租户目录，并在下载时再次检查归属。公开文件也应区分是否允许跨租户访问。

缓存键必须包含租户标识。首页配置、权限结果和接口响应若使用相同键名，可能把一个租户的数据返回给另一个租户。邮件模板、临时验证码和异步任务也应带有租户上下文。

4. 资源边界：防止一个租户拖慢全部网站

隔离还包括资源控制。可以为租户设置并发请求、文件大小、后台任务、接口调用次数和存储容量等限制。对于图片处理、报表生成这类耗时任务，宜使用队列并设置每租户的任务上限，避免单个客户占满工作进程。

新手可执行的部署步骤

1. 绘制数据清单：列出用户、业务记录、附件、缓存、消息、日志和备份，标记每项是否含租户信息。
2. 确定租户识别方式：选择域名或路径，并建立域名、租户编号、状态和配置的对应关系。
3. 固定服务端上下文：请求进入应用后完成身份确认，后续业务代码不得使用客户端自行提交的租户编号覆盖它。
4. 封装访问层：统一处理租户条件、权限校验和软删除，避免开发人员在不同接口中重复实现。
5. 规划文件与缓存键：为文件路径、缓存键、队列消息和导出任务加入租户维度。
6. 设置资源限额：先从合理的默认值开始，再根据真实访问量调整。上传大小、并发数和任务数量应分别控制。
7. 建立备份恢复流程：共享数据库要能恢复单个租户的数据；独立数据库则要验证批量恢复和连接切换。
8. 上线前做越权测试：准备两个测试租户，交叉替换记录编号、文件地址、接口参数和管理页面入口，确认均无法越界。

三种部署方式如何取舍

上线后要持续检查什么

建议把租户标识写入审计日志，但避免记录密码、完整令牌等敏感内容。监控中应能按租户观察请求错误、响应时间、存储量和任务积压。域名证书、数据库凭据和对象存储权限也要分级管理。

发布新版本时，先用少量测试租户验证数据库变更、缓存清理和文件访问，再逐步扩大范围。对于共享架构，回滚脚本和数据迁移方案尤其重要；对于独立实例，则要防止不同实例版本长期不一致。

常见问题

一个数据库加租户字段够不够？

它可以作为基础，但还需要服务端身份确认、权限校验、文件隔离、缓存隔离和越权测试。

租户是否必须使用独立域名？

不必须。路径更容易开始，独立域名的品牌和权限边界更清晰，但证书、DNS和域名管理工作更多。

什么时候应升级到独立应用实例？

当某租户有明显的高峰流量、特殊合规要求，或其故障已经会影响其他客户时，可以考虑独立实例。

新手最应该先测试什么？

优先测试两个租户之间的记录、文件、缓存、导出结果和后台权限，重点检查修改参数后是否能访问不属于自己的资源。

总的来说，可靠的多租户网站隔离部署方案应先明确边界，再决定共享程度；先保证租户身份和数据访问正确，再逐步增加资源限制、监控与自动化运维。