多租户 SaaS 系统的数据隔离架构：从独立数据库到行级安全的演进与取舍

一、多租户数据隔离的真实困境

SaaS 产品的早期阶段，为每个租户创建独立数据库是最直观的选择。当租户数量从 50 增长到 5000 时，维护五千个数据库实例的连接池、迁移脚本、备份策略，运维成本指数级上升。此时迁移到共享数据库方案，又面临数据泄漏风险和数据倾斜问题。

三个核心矛盾贯穿整个架构演进过程：

• 物理隔离的安全性 vs 资源池化的利用率
• Schema 变更的灵活性 vs 批量运维的一致性
• 租户间性能隔离 vs 基础设施成本控制

对于需要数据本地化合规的场景（如 GDPR 要求数据存储在特定区域），独立数据库仍然是唯一选项。对于内部使用的 SaaS 平台（租户间信任度高），共享表方案可能更经济。没有银弹，只有上下文适配。

实际生产中还面临一个容易被忽略的问题：租户之间的数据访问模式差异巨大。A 租户每天写入 10 万条日志，B 租户每天全表扫描做报表。在同一张表上同时服务这两种负载，性能表现很难保证。

二、三种隔离架构的演进路径

独立数据库模式：每个租户拥有完整的数据库实例。安全隔离级别最高——租户 A 的 SQL 注入不会影响租户 B。代价是连接池膨胀：5000 个租户对应 5000 个连接池，数据库服务端的最大连接数受限。迁移脚本需要逐一执行，滚动升级周期与租户数量成正比。

独立 Schema 模式：同一数据库实例内，每个租户使用独立 Schema。共享了数据库进程和缓冲池，但表结构完全隔离。PostgreSQL 的search_path机制可以在此模式下实现租户路由。缺点是：跨租户的聚合查询（如平台的 DAU 统计）需要 UNION ALL 遍历所有 Schema。

共享表 + 行级安全：所有租户数据存在同一张表中，通过tenant_id列区分。数据库的行级安全策略（RLS）在 SQL 执行层面自动注入过滤条件。优势是运维简单——一张表、一套索引、一次迁移。劣势是：数据倾斜时大租户的全表扫描会拖慢小租户的查询；RLS 过滤条件会影响查询优化器的索引选择。

混合架构：将租户按数据规模分级。小租户（<1GB）走共享表；大租户（>10GB）走独立数据库；超大租户甚至可以分配独立集群。路由层根据租户 ID 分发到不同存储后端。这是工业界最常用的最终收敛方案。

三、基于 PostgreSQL RLS 的 Rust 中间件实现

下面的代码展示了一个数据库中间件层，它在连接池管理和租户上下文注入方面增加了保护层。核心思路是：不在应用代码中手动拼接WHERE tenant_id = ?，而是通过 PostgreSQL 的 RLS 策略和会话变量自动完成过滤。

use sqlx::postgres::{PgPool, PgPoolOptions}; use sqlx::Executor; use std::collections::HashMap; use std::sync::Arc; use tokio::sync::RwLock; /// 多租户数据库中间件 —— 在连接级别注入租户上下文 pub struct TenantDatabase { // 按连接权重路由到不同的数据库实例 pools: HashMap<String, PgPool>, // 租户到数据库实例的映射，大租户独占实例 tenant_routing: RwLock<HashMap<String, String>>, // 默认共享数据库，服务小租户 default_pool_id: String, } impl TenantDatabase { /// 创建数据库连接并配置 RLS 用户 pub async fn new(configs: Vec<DbConfig>) -> Result<Self, DbError> { let mut pools = HashMap::new(); for cfg in &configs { // 每个数据库实例维持独立的连接池 // max_connections 按租户数推算：共享库需要更大池 let pool = PgPoolOptions::new() .max_connections(cfg.max_conn) .connect(&cfg.url).await?; // 为当前实例启用行级安全策略 // 选择在应用层执行而非依赖 DBA 手动配置，降低运维遗漏风险 pool.execute("ALTER TABLE business_data ENABLE ROW LEVEL SECURITY") .await?; // 创建安全策略：自动将 tenant_id 与当前会话变量 matching pool.execute( "CREATE POLICY tenant_isolation ON business_data \ FOR ALL USING (tenant_id = current_setting('app.current_tenant')::text)" ).await?; // 容错处理：若策略已存在则忽略错误 pools.insert(cfg.id.clone(), pool); } Ok(Self { default_pool_id: configs.first().ok_or(DbError::NoConfig)?.id.clone(), pools, tenant_routing: RwLock::new(HashMap::new()), }) } /// 为指定租户配置独占数据库实例 —— 大租户专属路由 pub async fn assign_dedicated_pool(&self, tenant_id: &str, pool_id: &str) { self.tenant_routing.write().await .insert(tenant_id.to_string(), pool_id.to_string()); } /// 获取租户对应的连接池并设置会话上下文 pub async fn get_connection( &self, tenant_id: &str ) -> Result<sqlx::pool::PoolConnection<sqlx::Postgres>, DbError> { // 路由选择：优先使用专有实例，否则走共享库 let routing = self.tenant_routing.read().await; let pool_id = routing.get(tenant_id).unwrap_or(&self.default_pool_id); let pool = self.pools.get(pool_id).ok_or(DbError::PoolNotFound)?; let mut conn = pool.acquire().await?; // 注入租户上下文 —— RLS 策略依赖此变量进行行级过滤 // 使用 SET LOCAL 而非 SET SESSION 确保事务结束自动清理 sqlx::query("SET LOCAL app.current_tenant = $1") .bind(tenant_id) .execute(&mut *conn) .await?; Ok(conn) } /// 在租户上下文中执行业务查询 pub async fn query_business_data( &self, tenant_id: &str, limit: i64, ) -> Result<Vec<BusinessRecord>, DbError> { let mut conn = self.get_connection(tenant_id).await?; // 注意：SQL 中无需手动拼接 tenant_id 过滤条件 // RLS 已自动完成行级过滤，简化了应用层逻辑 let records = sqlx::query_as!( BusinessRecord, "SELECT id, data, created_at FROM business_data ORDER BY created_at DESC LIMIT $1", limit ) .fetch_all(&mut *conn) .await?; Ok(records) } } pub struct DbConfig { pub id: String, pub url: String, pub max_conn: u32, } pub struct BusinessRecord { pub id: i64, pub data: String, pub created_at: chrono::NaiveDateTime, } #[derive(Debug)] pub enum DbError { NoConfig, PoolNotFound, Sqlx(sqlx::Error), } impl From<sqlx::Error> for DbError { fn from(e: sqlx::Error) -> Self { DbError::Sqlx(e) } }

关键设计决策：

• SET LOCAL而非SET SESSION：LOCAL的作用域仅限于当前事务，事务提交或回滚后自动清除。避免连接归还连接池时残留上一租户的上下文——这是多租户系统中最常见的安全漏洞。
• 在应用层执行CREATE POLICY：不依赖 DBA 手动配置。代码即文档，策略与业务逻辑在同一仓库管理。
• 连接池隔离：大租户独占连接池，防止其慢查询耗尽共享池的所有连接，导致小租户的请求超时。

四、多租户数据隔离的适用边界与权衡

适用场景：

• 共享表 + RLS：租户数 > 500，单个租户数据量 < 5GB，租户间数据访问模式相似。
• 独立 Schema：租户数 50~500，需要为不同租户定制表结构（如不同的自定义字段）。
• 独立数据库：租户数 < 50，或存在严格的数据合规要求（如金融、医疗）。

不适用场景：

• 共享表方案不适用于需要跨租户报表聚合的场景。UNION ALL 遍历 5000 租户时，即使有索引，查询延迟也在秒级。
• RLS 不适用于需要应用层缓存的场景。Redis 缓存层无法感知数据库级别的行过滤策略，缓存键需要手动包含 tenant_id。

主要权衡：

1. RLS 的性能开销：PostgreSQL 的 RLS 会在每个查询的查询计划中注入额外的过滤条件。对于简单的SELECT * FROM t WHERE tenant_id = ?，RLS 和手动 WHERE 子句的执行计划相同。但对于复杂 JOIN，优化器可能无法将 RLS 条件下推到合适的表，导致全表扫描。
2. 迁移复杂度：从独立数据库迁移到共享表时，所有表的 PRIMARY KEY 需要从id变更为(tenant_id, id)复合主键。这意味着所有外键引用也需要同步更新。这是一次性但大范围的代码变更。
3. 数据倾斜的不可预测性：一个租户的数据量可能从 100MB 突然增长到 100GB。预留足够的架构灵活性（混合模式的路由层）是关键。

五、总结

1. 多租户数据隔离没有普适方案，需要在安全、运维成本、查询性能三者之间做动态平衡。
2. PostgreSQL RLS 策略能将过滤逻辑下沉到数据库层，消除应用层手动拼接 tenant_id 的安全隐患。
3. SET LOCAL限定租户上下文在事务范围内，是防止连接池租户信息泄漏的关键技术点。
4. 混合架构（大小租户分流）是工业界最终的收敛状态，路由层是核心的架构组件。
5. 数据倾斜是不可预测的，架构设计初期就必须预留租户级别的数据迁移能力。