必须同步完成三项操作：启用MULTI_TENANCY_ENABLED为True、为apps等五张表配置RLS策略、绑定租户-角色-权限三级链；缺一导致隔离失效或权限失控。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
要在Dify中实现租户数据完全隔离、权限严格分界、资源按需分配，必须同步完成配置开关启用、数据库行级安全加固和角色权限链绑定三项操作，缺一不可。
启用多租户隔离开关并配置上下文注入
打开 dify/config.py 文件，将 MULTI_TENANCY_ENABLED 的值设为 【True】；该配置为总开关，若为 False，后续所有租户逻辑均不加载。
在同一文件中定义 get_current_tenant_id() 函数：优先从请求头 X-Tenant-ID 提取租户标识；若缺失，则尝试解析 JWT 中的 tenant_id 字段，再无则回退至 organization_id 字段。
保存后执行 sudo docker restart docker-api-1 重启 API 容器——热重载不会初始化租户上下文中间件，这一步跳过会导致所有租户请求都 fallback 到默认上下文。
配置数据库行级安全策略（RLS）
方法一：手动为每张含 tenant_id 字段的核心表启用 RLS
以 conversations 表为例，在 PostgreSQL 中执行：
ALTER TABLE conversations ENABLE ROW LEVEL SECURITY;
CREATE POLICY tenant_isolation_policy ON conversations USING (tenant_id = current_setting('app.current_tenant', true)::UUID);
注意：【apps、messages、datasets、workspaces、knowledge_bases 这五张表必须全部执行上述两条语句】，漏掉任意一张，该表即成为租户数据泄露通道。
方法二：使用迁移脚本批量处理（推荐）
在 migrations/ 目录下新增 V202606011000_add_rls_to_core_tables.py，调用 SQLAlchemy 的 execute() 批量对上述五张表启用 RLS 并创建策略，避免人工遗漏。
构建租户-角色-权限三级绑定链
第一步：确认内置角色继承关系已激活
登录 Admin UI →「系统设置 → 角色管理」→ 检查以下四角色是否已存在且勾选“继承上级权限”：
① Viewer → ② Editor → ③ Owner → ④ TenantAdmin
未勾选“继承上级权限”会导致 Editor 无法获得 Viewer 的查看能力，Owner 无法获得 Editor 的编辑能力，权限链断裂。
第二步：执行租户级角色绑定初始化
在 PostgreSQL 中运行：
INSERT INTO tenant_role_bindings (tenant_id, role_id, created_at) SELECT t.id, r.id, NOW() FROM tenants t CROSS JOIN roles r WHERE r.name IN ('Viewer', 'Editor', 'Owner', 'TenantAdmin');
该语句为每个现有租户自动绑定全部四类角色，确保新租户注册后立即具备最小可用权限集合。
