postgresql schema隔离是生产环境真正兜底方案，必须为每个租户缓存独立*sql.db实例并设置search_path，禁用动态切换；gorm需用scope强制注入tenant_id，redis键名必须带tenant前缀，tenant_id须从可信jwt上下文提取。
tenant_id 字段隔离能跑通，但不等于安全；PostgreSQL schema 隔离才是生产环境真正兜底的方案。别在验证期就默认选字段隔离，等租户数过 50 或审计介入时再切 schema，代价远高于起步时多写几行初始化代码。
PostgreSQL schema 隔离怎么避免连接池失效
很多人试 db.Exec("SET search_path TO tenant_abc")，结果下一次 Query 又落到 public。这不是 bug，是 database/sql 连接池的设计使然：连接归还后 session 状态不保留，复用时无法保证是同一物理连接。
- 必须为每个租户缓存独立的
*sql.DB实例，用sync.Map存tenant_id → *sql.DB - 首次获取时用标准 DSN 打开连接，立刻执行
db.Exec("SET search_path TO " + tenantID) - 调
db.SetMaxOpenConns(5)和db.SetConnMaxLifetime(5 * time.Minute)，否则 1000 租户 × 默认 100 连接 = PostgreSQL 直接拒绝新连接 - 禁止手写
"tenant_abc.users"拼表名——GORM 的BeforeCreate、事务、迁移全失效
GORM 的 Preload 和 Count 为什么总绕过租户过滤
Preload("Orders") 和 Count() 不继承主查询的 Scopes，GORM v2+ 也不透传上下文里的 tenant_id。漏一次，就查出全量订单或统计错误总数。
在 Golang 中使用 samber/hot 进行内存缓存，支持 LRU、LFU、TinyLFU、W‑TinyLFU、S3FIFO、ARC、TwoQueue、SIEVE、FIFO 等淘汰算法，提供 TTL、缓存加载器及分片功能。
- 禁用裸调
db.Preload("Orders").Find(&u)；改用封装方法，如tenantDB.User().WithOrders(tenantID).Find(&u)，内部对关联表也手动加WHERE tenant_id = ? -
Count()必须显式带条件：db.Where("tenant_id = ? AND status = ?", tenantID, "pending").Model(&Order{}).Count(&count) -
Unscoped()会直接跳过所有Scopes，软删除字段deleted_at必须和tenant_id同级约束：WHERE tenant_id = ? AND deleted_at IS NULL
缓存键漏掉 tenant_id 是高频 P0 故障点
多个租户查同名资源（比如都叫 config），Redis 里存的就变成“谁先写谁赢”。这不是并发问题，是设计缺陷。
- 所有缓存 key 必须硬编码包含
tenant_id，例如tenant:{tenant_id}:config或tenant:{tenant_id}:user:{id} - 避免用 struct hash 生成 key —— JSON 序列化顺序、字段 tag 差异都会导致键不一致
-
redis-go的Get返回nil时，必须把带tenant_id的结果回填，否则下个租户会命中前一个租户的脏数据
HTTP 请求里怎么安全带入 tenant_id
靠前端传 X-Tenant-ID 或 query 参数是最危险的起点——它等于把租户边界交给了不可信输入。
- 正确路径是从认证上下文推导：JWT payload 里存已签名的
tenant_id和tenant_role，签名校验通过才解出 - 用私有未导出类型作 context key，例如
type tenantCtxKey struct{}，避免和其他包 key 冲突 - 用
gin.Context.Set()或context.WithValue()注入，后续 handler 全部从ctx.Value()取，绝不从 header/query 二次读取 - 子域名（如
acme.api.example.com）比 header 更可靠，解析时注意用net.SplitHostPort剥离端口，防止:8080导致切分错误
真正容易被忽略的不是“怎么写”，而是“哪里会漏”：GORM 的 Raw()、Joins()、Unscoped() 全都不吃 Scopes；ent 的 Select() 若没走 WithTenant(ctx) 就裸查；Redis 缓存 miss 后没回填带租户上下文的结果——这些点不逐个卡死，字段隔离就是裸奔，schema 隔离也只是一层纸。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
