已發(fā)布的《多租戶架構(gòu)——SaaS 系統(tǒng)的核心能力》講的是什么是多租戶。這篇進入實現(xiàn)層租戶怎么被識別、數(shù)據(jù)庫怎么被切過去、為什么 EasyAdminBlazor 選擇獨立數(shù)據(jù)庫而不是TenantId行級隔離。一、三種隔離方案先擺在一起比做 SaaS 后臺多租戶數(shù)據(jù)隔離繞不開三條路方案做法優(yōu)點代價共享庫 TenantId 行級隔離所有表加TenantId每次查詢都帶租戶條件成本最低、擴容簡單、跨租戶統(tǒng)計容易漏寫一次WHERE TenantId ?就是數(shù)據(jù)泄露大客戶數(shù)據(jù)混在一起備份恢復無法按客戶做共享庫 獨立 Schema每個租戶一個 schema表結(jié)構(gòu)相同隔離比行級強仍共享實例Schema 數(shù)量多時運維復雜數(shù)據(jù)庫方言差異大MySQL / SQLite 沒有等價 schema 概念獨立數(shù)據(jù)庫每個租戶一套庫連接串各自獨立物理隔離權(quán)限、備份、恢復、遷移都可按租戶做連接數(shù)和運維成本高跨租戶統(tǒng)計要另行處理EasyAdminBlazor 當前采用的是獨立數(shù)據(jù)庫隔離。這不是一個更高級的選擇而是一個針對企業(yè)后臺交付場景的取舍客戶數(shù)量通常有限幾十到幾百但每個客戶對數(shù)據(jù)隔離的要求很高而且很多項目本身就是私有化部署 SaaS 混合。源碼里能看到這個選擇的直接證據(jù)// MultiTenantService.BuildTenantOrmvarfsqlnewFreeSqlBuilder().UseConnectionString(tenantInfo.DataType,tenantInfo.ConenctionString.Replace({database},tenantCode)).UseAdoConnectionPool(true).UseAutoSyncStructure(true).Build();每個租戶用自己的DataTypeConenctionString{database}占位符會被租戶編碼替換。也就是說租戶既可以指向同一臺數(shù)據(jù)庫服務器上的不同庫也可以指向完全不同的實例。二、租戶是怎么被識別的1. 按 Host 識別MultiTenantService.GetCurrentTenant()用請求的 Host 去主庫匹配publicSysTenant?GetCurrentTenant(){varhttpContext_httpContextAccessor.HttpContext;if(httpContextnull)returnnull;// 每個請求只解析一次后續(xù)從 HttpContext.Items 緩存讀取if(httpContext.Items.TryGetValue(TenantContextKey,outvarcached)cachedisSysTenantcachedTenant)returncachedTenant;varhosthttpContext.Request.Host.Value;// e.g. localhost:7230if(string.IsNullOrEmpty(host)){httpContext.Items[TenantContextKey]null;returnnull;}// 在 SysTenant 表中查找 Host 匹配的租戶支持完整 URL 或純 host:portvartenant_mainOrm.SelectSysTenant().DisableGlobalFilter().Where(aa.IsEnabled(a.Hosthost||a.Host$https://{host}||a.Host$http://{host})).First();httpContext.Items[TenantContextKey]tenant;returntenant;}幾個細節(jié)主庫查詢顯式DisableGlobalFilter()——租戶表本身不能被軟刪除過濾器擋住否則匹配行為會變得難以預測。SysTenant.Host支持三種寫法localhost:7230、https://localhost:7230、http://localhost:7230。開發(fā)環(huán)境用端口區(qū)分生產(chǎn)環(huán)境用域名。每個請求只查一次結(jié)果放在HttpContext.Items里避免同一次請求內(nèi)反復查庫。只有IsEnabled true的租戶才會被解析出來停用租戶等于訪問不到。2. Blazor Server 的特殊處理Blazor Server 的交互回調(diào)里HttpContext可能已經(jīng)不可用了所以AdminContext把租戶解析結(jié)果緩存了一次publicSysTenant?Tenant{get{if(!_tenantResolved){_cachedTenant_tenantService?.GetCurrentTenant();_tenantResolvedtrue;}return_cachedTenant;}}同時提供了顯式的切換與失效方法publicvoidInvalidateTenantCache(){_tenantResolvedfalse;_cachedTenantnull;}publicvoidSetTenant(SysTenant?tenant){if(tenant!null!IsValidTenantCode(tenant.Code))thrownewArgumentException(租戶編碼不合法,nameof(tenant));varoldCodeTenantCode;_cachedTenanttenant;_tenantResolvedtrue;if(!string.Equals(oldCode,TenantCode,StringComparison.Ordinal)){// 租戶發(fā)生變化權(quán)限/菜單緩存必須重新構(gòu)建Roles[];RoleMenus[];}}切換租戶在普通 Web 請求里很少發(fā)生但 Blazor Server 的 Circuit 生命周期很長不及時失效就會一直用舊租戶的數(shù)據(jù)所以這里顯式做了緩存清理。三、數(shù)據(jù)庫是怎么切過去的1. AdminContext.Orm 是唯一入口/// summary/// 獲取 FreeSql 實例多租戶模式下自動切換到租戶數(shù)據(jù)庫。/// /summarypublicIFreeSqlOrmTenant!null?_tenantService!.GetTenantFreeSql(Tenant.Code):_mainOrmHandle.Orm;這一行是整條鏈路的關鍵沒解析到租戶單庫模式 / 主站→ 用主庫 ORM解析到租戶 → 用該租戶的 FreeSql 實例。框架注冊的IFreeSql是從MainOrmHandle解析出來的 Singleton而多租戶擴展會把FreeSqlCloud注冊進來FreeSqlCloud : FreeSqlCloudstring, IFreeSql由它按租戶編碼返回不同的實例publicstaticWebApplicationBuilderAddEasyAdminBlazorMultiTenant(thisWebApplicationBuilderbuilder){// 調(diào)用此擴展即啟用多租戶無需再設置 EnableMultiTenant truebuilder.Services.PostConfigureEasyAdminBlazorOptions(oo.EnableMultiTenanttrue);// 關鍵這里絕對不能用 builder.Services.BuildServiceProvider() 去提前解析 MainOrmHandle// 那會創(chuàng)建第二個 DI 容器導致單例被構(gòu)造兩次、生命周期錯亂、配置不生效。builder.Services.AddSingleton(sp{varcloudnewFreeSqlCloud();varmainOrmsp.GetRequiredServiceIFreeSql();cloud.Register(main,()mainOrm);returncloud;});// 替換默認的 NullTenantService 為 MultiTenantServicebuilder.Services.RemoveAllITenantService();builder.Services.AddSingletonITenantService(spnewMultiTenantService(sp.GetRequiredServiceFreeSqlCloud(),sp.GetRequiredServiceIFreeSql(),sp.GetRequiredServiceIHttpContextAccessor()));returnbuilder;}那段注釋值得讀兩遍不要在注冊階段BuildServiceProvider()。這會創(chuàng)建第二個容器單例被構(gòu)造兩次配置不生效屬于很容易埋進去、后期極難排查的坑。2. 誰在主庫誰在租戶庫理解分工比記住 API 更重要數(shù)據(jù)存放位置說明SysTenant租戶清單主庫租戶識別必須查主庫主站自身的用戶、角色、菜單、業(yè)務數(shù)據(jù)主庫主租戶編碼固定為main租戶的用戶、角色、菜單、業(yè)務數(shù)據(jù)租戶庫每個租戶一套完整的組織、權(quán)限、業(yè)務表上傳的文件按租戶分目錄wwwroot/uploads/{tenantCode}/yyyy/MM/dd/緩存 / Redis Key按租戶加前綴tenant:{code}:注意第二行主站也是一個租戶只是它的編碼固定是main。這讓主站 多個客戶站點可以用同一套代碼。文件目錄隔離來自FileServiceprivatestringTenantPrefix_adminContext.Tenant?.Codeis{}code?${code}/:;緩存隔離來自AdminContextpublicconststringMainTenantCodemain;/// summary/// 統(tǒng)一的多租戶緩存/Redis 鍵前綴格式 tenant:{code}:。/// 所有跨租戶共享的緩存、Redis Key 都必須帶上此前綴避免租戶之間串數(shù)據(jù)。/// /summarypublicstringTenantCachePrefix$tenant:{TenantCode}:;數(shù)據(jù)庫隔離了但緩存和文件如果不隔離一樣會串——這一點會單獨用一篇文章展開。四、為什么是獨立數(shù)據(jù)庫1. 收益物理隔離。租戶 A 的數(shù)據(jù)和租戶 B 的數(shù)據(jù)根本不在一個庫里。即使某處代碼漏寫了租戶過濾條件也查不到別人的數(shù)據(jù)——因為它連的是另一個數(shù)據(jù)庫。這是行級隔離給不了的安全下限。按租戶運維。備份、恢復、遷移、導出都可以針對單個客戶做?？蛻粢盐业臄?shù)據(jù)給我時直接給一個庫的備份就是完整交付。連接串可指向不同實例。SysTenant上有獨立的DataType和ConenctionString字段名沿用源碼拼寫所以小客戶可以共用一臺數(shù)據(jù)庫服務器上的不同庫大客戶可以放到獨立實例甚至獨立機房私有化部署時同一個程序集可以指向客戶自己的數(shù)據(jù)庫。升級可控。表結(jié)構(gòu)變更可以按租戶灰度出了問題也只影響一個租戶的庫。2. 代價連接數(shù)與資源開銷。每個租戶一套連接池租戶多的時候數(shù)據(jù)庫連接會成為瓶頸。源碼用了UseAdoConnectionPool(true)并緩存已構(gòu)建的 FreeSql 實例避免每個請求都重新建連。建庫與遷移要做自動化。新租戶不能靠人工建表所以必須有自動建表能力——這就是下一篇文章的主角AutoSyncStructure?？缱鈶艚y(tǒng)計變難。所有租戶一共多少訂單這類報表需要主庫匯總或者額外的數(shù)據(jù)倉庫?？蚣芴峁┑氖沁\行時隔離不提供跨庫分析能力。數(shù)據(jù)庫數(shù)量上限。MySQL / SQL Server 單實例的庫數(shù)量有實際運維上限規(guī)?；瘯r要提前規(guī)劃分片。3. 什么時候不該選它如果你的場景是免費用戶幾萬個、每個用戶數(shù)據(jù)量很小獨立數(shù)據(jù)庫的成本會遠高于行級隔離。多租戶方案沒有銀彈EasyAdminBlazor 選擇的是面向企業(yè)后臺交付的那條路——它解決的是客戶要求數(shù)據(jù)必須分開這個更常見的商業(yè)約束。五、落地時要注意的幾件事1. 租戶編碼是危險輸入必須白名單租戶編碼會進入數(shù)據(jù)庫名、文件路徑、緩存鍵和 Redis Key。所以框架在入口統(tǒng)一做了校驗/// summary/// 租戶編碼白名單字母、數(shù)字、下劃線、短橫線長度 1~50。/// /summary[GeneratedRegex(^[A-Za-z0-9_-]{1,50}$)]privatestaticpartialRegexTenantCodeRegex();publicstaticboolIsValidTenantCode(string?tenantCode){return!string.IsNullOrWhiteSpace(tenantCode)TenantCodeRegex().IsMatch(tenantCode);}測試里鎖定了這些反例../tenant、tenant/1、tenant\1、tenant;1、tenant;drop、tenant.1、租戶1全部拒絕。租戶保存前也會再校驗一次不合法直接攔住privateasyncTaskOnBeforeSaveAsync(AdminSaveEventArgsSysTenante){e.Item.Codee.Item.Code.Trim().ToLower();if(!AdminContext.IsValidTenantCode(e.Item.Code)){awaitSwalService.Error(CommonLocalizer[租戶編碼只允許字母、數(shù)字、下劃線與短橫線長度 1~50]);e.Canceltrue;}}GetTenantFreeSql內(nèi)部還會再校驗一次形成保存時校驗 使用時校驗的雙重防線。2. 主租戶不允許刪除privateasyncTaskOnBeforeDeleteAsync(AdminRemoveEventArgsSysTenante){foreach(varitemine.Items){if(item.Codemain){awaitSwalService.Error(CommonLocalizer[默認租戶不允許刪除]);e.Canceltrue;break;}}...}主庫同時也是main租戶的數(shù)據(jù)庫刪掉等于把系統(tǒng)自身的管理數(shù)據(jù)刪了。3. 租戶表上不要被軟刪除過濾器擋住GetCurrentTenant用了DisableGlobalFilter()。你自己的租戶相關查詢?nèi)绻婕败泟h除實體也要同樣處理否則會出現(xiàn)租戶明明存在但解析不到的詭異現(xiàn)象。4. 租戶內(nèi)的查詢不要跨到主庫AdminContext.Orm在解析到租戶后返回的是租戶庫。業(yè)務代碼統(tǒng)一用這個入口或注入的IFreeSql即可。只有租戶清單、跨租戶統(tǒng)計這類明確要讀主庫的場景才用MainOrmHandle[Inject]MainOrmHandleMainOrm{get;set;}default!;varallMenusawaitMainOrm.Orm.SelectSysMenu().ToListAsync();Pages/Tenant.razor就是這么做的——它要讀主庫的完整菜單樹再同步到租戶庫。5. 關閉多租戶時要有回退路徑框架默認注冊的是NullTenantService它的GetTenantFreeSql會直接拋異常publicclassNullTenantService:ITenantService{publicSysTenant?GetCurrentTenant()null;publicIFreeSqlGetTenantFreeSql(stringtenantCode)thrownewNotSupportedException(請安裝 EasyAdminBlazor.MultiTenant 擴展以啟用多租戶功能);publicTaskListSysMenuGenerateTenantMenus(stringtenantCode)thrownewNotSupportedException(請安裝 EasyAdminBlazor.MultiTenant 擴展以啟用多租戶功能);}所以單庫模式下調(diào)用租戶 API 會立刻報錯而不是靜默拿到主庫——這種顯式失敗比悄悄用錯庫安全得多。六、小結(jié)EasyAdminBlazor 的多租戶實現(xiàn)可以壓縮成四句話識別按請求 Host 在主庫SysTenant表匹配租戶每個請求只解析一次。路由AdminContext.Orm根據(jù)是否解析到租戶返回主庫或租戶庫的 FreeSql 實例。隔離數(shù)據(jù)庫物理隔離文件按{tenantCode}分目錄緩存/Redis Key 加tenant:{code}:前綴。防注入租戶編碼進入數(shù)據(jù)庫名/路徑/緩存鍵之前必須過白名單。獨立數(shù)據(jù)庫帶來的最大代價是新租戶的表結(jié)構(gòu)必須自動建好也就是AutoSyncStructure存在的原因。下一篇專門講它。如果你正在用 .NET 10 Blazor 做多租戶 SaaS 后臺可以看看 EasyAdminBlazor 的做法獨立數(shù)據(jù)庫 按域名識別 菜單/權(quán)限/文件/緩存全鏈路隔離源碼開放可以按自己的商業(yè)模型調(diào)整。文檔https://easyadmin.wang-zhan.com.cn/doc源碼https://gitee.com/gudufy/EasyAdminBlazor