模块路径下的资源隔离本质是将租户变量的生命周期、作用域和加载入口绑定到明确路径层级，以“路径即上下文”建立安全边界，通过路径标识租户、分层加载变量、运行时沙箱隔离及校验加固实现跨租户隔离。
模块路径下的资源隔离，本质是把租户变量的生命周期、作用域和加载入口，绑定到明确的路径层级中，避免全局污染和跨租户误读。它不依赖物理隔离，而是靠“路径即上下文”的设计原则，在代码结构和运行时加载机制上建立安全边界。
路径即租户标识：用模块路径承载租户上下文
每个租户对应一个独立的模块路径（如 /modules/tenant-acme 或 /config/tenants/bank-xyz），该路径不仅是文件组织方式，更是运行时识别租户的唯一依据。系统启动或请求进入时，先解析请求头中的 tenant-id，再动态拼接为模块路径前缀，后续所有资源配置、变量注入、插件加载都限定在此路径下。
- 避免硬编码租户名，统一通过路径模板（如 /modules/{tenantId}）生成实际路径
- 禁止在公共模块（如 /shared 或 /core）中定义可被覆盖的租户级变量
- 模块加载器需校验路径合法性，拒绝包含 ../ 或通配符的非法路径访问
变量加载与覆盖规则：按路径层级分层生效
变量不是“写死在配置里”，而是按路径深度逐级合并：越靠近租户路径的配置，优先级越高。例如：
- /config/base.yml：提供默认变量（如 timeout: 5000）
- /config/tenants/common.yml：通用租户策略（如 enable_audit: true）
- /config/tenants/acme/env-prod.yml：acme 租户生产环境专属变量（如 api_base_url: https://api.acme-prod.com）
运行时只加载当前租户+环境匹配的路径链，不会加载其他租户路径，天然阻断变量泄露。
运行时沙箱：模块路径触发独立变量空间
在 JVM 或 Node.js 等环境中，可通过类加载器隔离或模块作用域隔离实现变量空间分离：
- JVM 场景：为每个租户路径创建独立的 URLClassLoader，确保 System.getProperty 和静态变量不跨租户共享
- Node.js 场景：使用 vm.Script 或 ESM 的 import() 动态加载路径模块，变量作用域严格限制在模块内
- 禁止使用 process.env 或全局对象挂载租户变量；所有变量必须经由路径加载器显式注入
安全加固点：路径隔离不能绕过校验
路径只是载体，真正的安全部署必须配合运行时强制校验：
- 网关层在路由前验证 tenant-id 是否存在于白名单，并映射到合法模块路径
- 配置中心（如 Nacos/Apollo）按 namespace + group = tenantId 隔离，模块路径加载器只订阅对应 group
- 日志、指标、审计事件中自动注入路径来源字段（如 module_path=/modules/tenant-fintech），便于追溯
