Go语言Echo框架多租户隔离方案-Golang-PHP中文网

必须显式传递tenant_id到dao层、缓存、文件路径及sql拼接中，因echo context透传易失效且gorm/异步/测试等场景不感知，漏一处即导致租户数据泄露。

go语言echo框架多租户隔离方案

Go 语言用 Echo 框架做多租户，不能靠中间件往 echo.Context 里塞 tenant_id 就完事——漏一次 db.Where("tenant_id = ?") 或错一次 Preload，数据就跨租户泄露。

Echo 的 c.Set("tenant_id", tid) 或 c.Get("tenant_id") 看似方便，但实际运行中极易失效：

GORM 的 Count()、Raw()、Unscoped() 完全不读取 echo.Context，直接绕过所有中间件注入
异步任务（如 go func() { ... }()）里 echo.Context 已失效，c.Get() 返回 nil，类型断言失败直接 panic
单元测试常 mock echo.Context，漏条件的 SQL 根本不会在测试中暴露
日志打点若只写 c.Get("tenant_id")，而 handler 里又没调用 c.Set()，字段为空，排查时无法定位归属

所有数据库操作函数必须把 tenant_id 当作第一参数，禁止从上下文隐式获取：

Echo框架 5.1.0

Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。

下载

DAO 方法定义为 func (r *UserRepo) FindByID(ctx context.Context, tenantID string, id int64) (*User, error)，而非 FindByID(ctx context.Context, id int64)
封装 GORM 查询时，强制拼接 Where("tenant_id = ?", tenantID)，不用 Scopes —— 因为 Preload("Orders") 不继承 scope 条件
软删除字段（如 deleted_at）必须和 tenant_id 同级约束：Where("tenant_id = ? AND deleted_at IS NULL", tenantID)
缓存 key 必须含 tenant_id 前缀，例如 redisClient.Get(ctx, "tenant:"+tenantID+":user:"+strconv.FormatInt(id, 10))

Echo 请求生命周期短，不能靠中间件执行 SET search_path TO tenant_abc —— 连接归还池后状态丢失，下个请求可能串 schema：

用 sync.Map 缓存租户专属 *sql.DB：键为 tenantID，值为已执行 db.Exec("SET search_path TO " + tenantID) 的实例
首次访问时调用 sql.Open，立刻执行 SET search_path，并设置连接池参数：db.SetMaxOpenConns(5)、db.SetConnMaxLifetime(5 * time.Minute)
Echo handler 中通过租户标识查 sync.Map 获取对应 *sql.DB，再传给 GORM：gorm.Open(postgres.New(postgres.Config{Conn: db}), &gorm.Config{})
绝对不要手写表名拼接，如 "tenant_abc.users" —— 破坏 GORM 的 BeforeCreate 等钩子，也难测

Echo 处理文件上传或配置拉取时，tenant_id 若只存在于 URL path 或 header，不落地到路径/Key 结构，就等于没隔离：

文件保存路径必须以 tenantID 为第一级目录：filepath.Join("/data", tenantID, "uploads", uuid.NewString())
调用 os.Stat 或 os.Open 前，必须先 filepath.Clean() 并验证路径是否仍以 /data/ + tenantID 开头，否则 403
etcd/viper 类配置中心，key 必须嵌入租户前缀，如 /tenant/ + tenantID + /config/app.yaml，不能复用全局 client watch 相同 prefix
每个租户应持有独立 TenantConfigClient 实例，内嵌 clientv3.Client 和 tenantID，所有方法自动拼接前缀