SQL标准视图不支持运行时参数，PostgreSQL可用current_setting()配合SECURITY DEFINER视图实现租户隔离，MySQL 8.0+需用SESSION变量并严格管理连接生命周期，但主隔离必须依赖应用层显式传参。
视图里直接加 WHERE tenant_id = current_tenant_id() 行不通
SQL 标准视图是静态定义的，不支持运行时参数。你写 CREATE VIEW orders_view AS SELECT * FROM orders WHERE tenant_id = ? 会报错——? 不被允许，也没有内置函数如 current_tenant_id()（除非你手动创建且数据库支持）。PostgreSQL 有 current_setting('app.tenant_id')，MySQL 8.0+ 可用 @@session.tenant_id（需提前设变量），但这些都依赖客户端显式设置，且容易漏设、误设。
PostgreSQL：用 current_setting() + SECURITY DEFINER 视图兜底
这是目前最可控的方案，前提是应用层在每次连接后执行 SET app.tenant_id = 't123'（连接池需支持初始化语句）。视图本身要带权限控制，防止绕过：
CREATE OR REPLACE VIEW tenant_orders AS
SELECT id, amount, created_at
FROM orders
WHERE tenant_id = current_setting('app.tenant_id', true)::uuid;
<p>ALTER VIEW tenant_orders OWNER TO app_user;
-- 关键：用 SECURITY DEFINER 让视图以定义者权限运行，避免用户直查基表
CREATE OR REPLACE VIEW tenant_orders_secure AS
SELECT * FROM tenant_orders;
ALTER VIEW tenant_orders_secure OWNER TO view_definer;
ALTER VIEW tenant_orders_secure SECURITY DEFINER;</p>
- 必须提前
SET app.tenant_id，否则current_setting(..., true)返回 NULL，查询结果为空——这反而是安全的，默认“无数据”比“全租户数据”好 -
SECURITY DEFINER要求view_definer不能有基表直接 SELECT 权限，否则用户可绕过视图 - 不建议在视图里做
COALESCE(current_setting(...), 'invalid')，会掩盖配置缺失问题
MySQL 8.0+：用 sysvar 模拟租户上下文，但需严格管理会话生命周期
MySQL 没有原生 session variable 命名空间支持，但可通过自定义系统变量（需 SUPER 权限初始化）或用户变量（@tenant_id）实现。推荐前者，更稳定：
SET PERSIST custom.tenant_id = ''; -- 应用连接后执行： SET SESSION custom.tenant_id = 't456'; <p>CREATE VIEW tenant_invoices AS SELECT id, total FROM invoices WHERE tenant_id = @@SESSION.custom.tenant_id;</p>
-
@@SESSION.变量只在当前连接有效，连接复用（如连接池）时必须确保每次请求前重设，否则可能残留上一个租户 ID - 不能依赖
@@GLOBAL.，那是全局的，彻底破坏隔离 - 如果忘记
SET SESSION，@@SESSION.custom.tenant_id为 NULL 或空字符串，WHERE 条件失效 → 全租户数据泄露！必须配合应用层强校验
真正安全的底线：视图只是辅助，主隔离必须靠应用层 SQL 注入防护 + 查询构造约束
任何基于 session variable 的视图方案，本质都是“信任客户端传来的租户上下文”。一旦应用层 SQL 拼接出错（比如把 tenant_id 写成字符串未引号包裹）、或连接池复用时变量污染，视图就形同虚设。所以：
- 所有增删改查操作，必须在应用代码里显式绑定
tenant_id参数，而不是依赖视图过滤 - 视图只用于只读报表类场景，且仅开放给低权限报表账号，该账号对基表无任何直接访问权
- 审计日志里必须记录每次
SET操作和对应连接 ID，便于追溯越权访问源头
租户 ID 这个字段，永远不该是“默认存在、自动生效”的东西；它得像密码一样，每次使用都重新确认、不可省略、不容缓存错位。
