go多租户权限隔离必须显式绑定tenant_id：casbin需改四元组模型并传四参数，gorm preload/count须手动注入tenant_id条件，postgresql需用sync.map缓存租户专属*sql.db并set search_path，redis键名必须带tenant前缀。
Go 里做多租户权限隔离，不能靠框架自动兜底——Casbin 默认模型、Gin 中间件、GORM Scopes 都不带租户维度，硬套就会越权。真正安全的做法是把 tenant_id 作为策略和查询的刚性组成部分，从连接、SQL、缓存到权限校验全部显式绑定。
为什么 Casbin 默认 RBAC 模型在多租户下会越权
Casbin 的 rbac_model.conf 只定义 r = sub, obj, act，所有租户共享同一套策略空间。一旦 alice 在租户 A 被赋予权限，她可能凭同一角色访问租户 B 的资源——这不是 bug，是模型缺失租户上下文。
- 必须改请求定义为四元组：
r = sub, tenant, obj, act，并在[matchers]中强制校验r.tenant == p.tenant - 调用时不能用
e.Enforce("alice", "/api/users", "read")，而必须传四参数：e.Enforce("alice", "tenant-abc", "/api/users", "read") - 策略行要显式带租户：
p, admin, tenant-abc, /api/users, read；角色继承也得带租户：g, alice, admin, tenant-abc - 别为每个租户启一个
Enforcer实例——内存爆炸、策略同步难；用单实例 + 四元组 +FilteredAdapter加载租户策略子集更可控
GORM Preload 和 Count 为什么总绕过 tenant_id 过滤
Preload("Orders") 和 Count() 不继承主查询的 Scopes，GORM v2+ 也不自动透传 tenant_id 到关联查询或聚合语句里。漏一次就是跨租户读取全量订单。
- 禁止裸调
db.Preload("Orders").Find(&u)；改用封装方法：tenantDB.User().WithOrders(tenantID).Find(&u)，内部对 Orders 关联也手动加WHERE tenant_id = ? -
Count()必须走同级过滤：db.Where("tenant_id = ? AND status = ?", tenantID, "pending").Model(&Order{}).Count(&count)，不能依赖 scope 透传 - 软删除字段
deleted_at必须和tenant_id同级约束：Where("tenant_id = ? AND deleted_at IS NULL", tenantID)，否则Unscoped()会直接绕过 - 每张表的
tenant_id字段必须加联合索引，比如(tenant_id, created_at)，否则分页查慢成秒级延迟
PostgreSQL schema 隔离如何避免连接池失效
SET search_path TO tenant_abc 是 session 级命令，但 *sql.DB 连接池不保证复用同一物理连接。执行完就归还，下次取到的连接仍是默认 public schema。
- 必须为每个租户缓存独立
*sql.DB实例，用sync.Map存tenantID → *sql.DB - 初始化时用标准 DSN 打开连接，立刻执行
db.Exec("SET search_path TO " + schemaName)，后续所有Query/Exec自动落在该 schema - 务必调
db.SetMaxOpenConns(5)和db.SetConnMaxLifetime(5 * time.Minute)，否则 1000 租户 × 默认 100 连接 = 直接打崩 PostgreSQL - 绝对不要手写
"tenant_abc.users"拼表名——破坏 GORM 钩子（如BeforeCreate）、无法跑迁移、测试难 mock
Redis 缓存键遗漏 tenant_id 是线上事故高发区
缓存键没带租户上下文，A 租户更新数据后，B 租户可能命中旧缓存，读到脏数据。Redis 本身无命名空间，全靠键名约定。
- 键名必须分层：用
tenant:abc123:user:123，而不是user:123 - 不能从 URL 或 query 参数临时解析
tenant_id，必须从 Gin 的c.MustGet("tenant_id")或 context 提取 - 批量操作如
redis.Pipeline()，所有命令的 key 都得提前拼好租户前缀，否则 pipeline 里混入不同租户 key 会导致错乱 - 如果用 Redis DB 编号隔离（如 SELECT 10 对应租户 abc123），确认客户端支持动态
SELECT切换，且连接池能正确复用
最易被忽略的点是：租户标识必须在鉴权中间件之前完成注入，且全程不可丢失——HTTP 中间件提取后存 c.Set()，gRPC 拦截器写入 context.WithValue()，异步任务（如 time.AfterFunc）必须显式携带上下文，否则一丢就是越权。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
