go语言本身不提供多租户能力，api网关的多租户支持必须靠显式路径校验、租户上下文注入和数据访问层强制过滤来实现——租户标识须在网关入口从子域名或jwt解析并注入context，后续所有文件操作、gorm查询（count/preload需显式传tenantid）、casbin权限校验（升级为四元组模型）均须严格绑定租户维度，杜绝全局变量与裸调用。
Go语言本身不提供多租户能力，API网关的多租户支持必须靠显式路径校验、租户上下文注入和数据访问层强制过滤来实现——没有“开箱即用”的隔离，只有层层设防的代码逻辑。
租户标识必须在网关入口就解析并注入 context
不能等请求落到业务服务才去查 tenant_id。网关是第一道防线，也是唯一能统一控制的地方。
- 子域名最可靠：从
r.Host提取（注意用net.SplitHostPort剥离端口），比如acme.gateway.example.com→tenant_id = "acme" - Header 或 JWT 都要校验合法性：
X-Tenant-ID不能直接信任，需白名单比对；JWT 中的tenant_id字段必须由网关密钥验证，且密钥按租户维度隔离 - 注入方式必须用
context.WithValue(r.Context(), "tenant_id", tenantID)，禁止存到全局变量或中间件闭包里——goroutine 复用时会污染上下文 - 一旦注入，后续所有中间件、路由匹配、转发逻辑都必须读取这个
tenant_id，而不是重新解析
文件系统与临时资源操作必须绑定租户路径前缀
Go 标准库的 os.Open、os.Stat、os.TempDir() 完全无视租户，直接调用等于裸奔。
- 所有路径拼接必须以
filepath.Join("/data", tenantID, ...)开头，禁止filepath.Join("/data", r.URL.Path)这类裸拼 - 构造完路径后必调
filepath.Clean()，再检查是否仍以/data/tenant_xxx/开头，否则返回403 -
os.TempDir()返回的是全局临时目录，必须替换为filepath.Join("/data", tenantID, "tmp")并确保目录存在且权限受限 - 上传文件名必须重写为
uuid.NewString()或sha256.Sum256()，原始名中的../、空字节、控制字符一律丢弃
GORM 查询必须显式传 tenantID，Scopes 不可靠
依赖 db.Scopes(ByTenant(tenantID)) 看似简洁，但 Count()、Preload()、Unscoped() 全部绕过它——线上 P0 故障基本都出在这儿。
- DAO 方法签名必须带
tenantID string参数，例如FindUserByID(ctx, tenantID, id)，禁止从context.Value里取——异步任务中容易 panic -
Preload("Orders")不会自动继承主查询的租户条件，必须显式写成Preload("Orders", func(db *gorm.DB) *gorm.DB { return db.Where("tenant_id = ?", tenantID) }) - 软删除字段
deleted_at必须和tenant_id同级约束：Where("tenant_id = ? AND deleted_at IS NULL", tenantID)，不能只靠 GORM 的SoftDelete插件 - 每张表的
tenant_id字段必须加联合索引，比如(tenant_id, created_at)，否则分页查询一慢就是秒级延迟
Casbin 权限校验必须扩展为四元组模型
默认 Casbin 的 Enforce(sub, obj, act) 三参数模型不带租户维度，多个租户共用一个 enforcer 实例就会越权。
- 修改
rbac_model.conf，把请求定义升级为四元组：r = sub, tenant, obj, act，策略也对应改为p = sub, tenant, obj, act - 调用时必须传四参数：
e.Enforce("alice", "tenant-abc", "/api/users", "read")，少一个就匹配失败 - 角色继承也要带租户：
g, alice, admin, tenant-abc，跨租户继承（如平台管理员）需单独建模，不推荐 - 不要为每个租户启动独立
enforcer实例——内存和连接开销太大；用sync.Map缓存不同租户的enforcer实例即可
最容易被忽略的不是怎么写租户逻辑，而是那些完全不感知租户的 Go 原生 API：文件锁 flock、当前工作目录 os.Getwd()、环境变量读取、甚至日志打点里的 trace_id 生成——它们全都在租户边界之外运行，必须在网关入口 middleware 中统一切换或封装。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
