在实际软件开发中权限控制和数据隔离是保障系统安全的核心机制。很多项目初期只关注功能实现忽略了权限边界的设计导致后期出现越权访问、数据泄露等严重问题。本文将以一个典型的多租户 SaaS 系统为例讲解如何从零构建一套完整的权限防护体系重点覆盖用户认证、资源隔离、操作审计和常见漏洞防范。适合需要为 Web 应用、移动端或微服务系统设计安全方案的开发者和架构师。通过本文你将掌握如何设计基于角色的访问控制模型实现数据层面的自动隔离并通过日志审计追踪异常操作。文章包含完整的 Spring Boot Spring Security 技术栈示例涵盖配置、代码、测试和排查路径可直接用于学习或项目参考。1. 理解权限漏洞的典型场景与防护目标1.1 为什么简单的权限检查不够用很多初级开发者认为权限控制就是登录后检查用户角色例如管理员能看到所有数据普通用户只能看到自己的数据。这种粗粒度控制在实际项目中至少存在三类漏洞水平越权用户 A 通过修改 URL 参数如/orders/123改为/orders/456访问到了用户 B 的数据。垂直越权普通用户通过功能漏洞获取了管理员接口的调用权限。数据泄露查询条件缺失租户隔离导致用户能看到其他租户的数据。这些漏洞的根源在于权限检查没有与数据查询深度绑定仅靠界面隐藏或路由守卫无法防范直接接口调用。1.2 多租户系统的核心防护需求以一个支持多个企业使用的 SaaS 系统为例完整的权限防护需要满足租户隔离每个企业的数据完全隔离包括数据库、文件存储和缓存。角色权限企业内部区分管理员、普通员工等角色控制功能访问。操作审计记录关键数据操作便于追踪和定责。接口安全防止参数篡改、批量查询和越权操作。下面我们将基于 Spring Security 和 MyBatis-Plus 实现这套方案。2. 环境准备与项目结构2.1 技术选型与版本要求本项目基于以下技术栈版本选择长期支持版以避免兼容性问题Java 17LTS 版本Spring Boot 3.0.5Spring Security 6.0.2MyBatis-Plus 3.5.3.1MySQL 8.0Redis 7.0在pom.xml中配置核心依赖dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-security/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-data-redis/artifactId /dependency dependency groupIdcom.baomidou/groupId artifactIdmybatis-plus-boot-starter/artifactId version3.5.3.1/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId version8.0.33/version /dependency /dependencies2.2 数据库表结构设计多租户系统的核心是在每张业务表增加租户标识字段。以下是用户表和订单表的最小设计-- 租户表 CREATE TABLE tenant ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(100) NOT NULL COMMENT 租户名称, status TINYINT DEFAULT 1 COMMENT 状态1-正常0-禁用, create_time DATETIME DEFAULT CURRENT_TIMESTAMP ); -- 用户表包含租户隔离字段 CREATE TABLE user ( id BIGINT PRIMARY KEY AUTO_INCREMENT, tenant_id BIGINT NOT NULL COMMENT 租户ID, username VARCHAR(50) NOT NULL UNIQUE COMMENT 用户名, password VARCHAR(100) NOT NULL COMMENT 加密密码, role VARCHAR(20) NOT NULL COMMENT 角色ADMIN, USER, status TINYINT DEFAULT 1 COMMENT 状态1-正常0-禁用, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, INDEX idx_tenant_id (tenant_id) ); -- 订单表包含租户隔离字段 CREATE TABLE orders ( id BIGINT PRIMARY KEY AUTO_INCREMENT, tenant_id BIGINT NOT NULL COMMENT 租户ID, user_id BIGINT NOT NULL COMMENT 下单用户ID, order_no VARCHAR(50) NOT NULL COMMENT 订单号, amount DECIMAL(10,2) NOT NULL COMMENT 订单金额, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, INDEX idx_tenant_id (tenant_id), FOREIGN KEY (user_id) REFERENCES user(id) );关键设计点所有业务表必须包含tenant_id字段为tenant_id建立索引提升查询性能外键关联的表需要确保在同一个租户内2.3 项目包结构规划保持清晰的项目结构有助于维护权限逻辑src/main/java/com/example/multitenant/ ├── config/ # 配置类 │ ├── SecurityConfig.java │ ├── MybatisPlusConfig.java │ └── RedisConfig.java ├── entity/ # 实体类 │ ├── Tenant.java │ ├── User.java │ └── Order.java ├── mapper/ # MyBatis Mapper │ ├── UserMapper.java │ └── OrderMapper.java ├── service/ # 业务层 │ ├── UserService.java │ └── OrderService.java ├── controller/ # 控制层 │ ├── AuthController.java │ └── OrderController.java └── common/ # 通用组件 ├── TenantContext.java ├── SecurityUtils.java └── AuditAspect.java3. 实现租户隔离与权限控制3.1 配置 MyBatis-Plus 多租户插件MyBatis-Plus 提供了多租户插件可以自动在 SQL 中附加租户条件Configuration public class MybatisPlusConfig { Bean public MybatisPlusInterceptor mybatisPlusInterceptor() { MybatisPlusInterceptor interceptor new MybatisPlusInterceptor(); // 多租户插件 TenantLineInnerInterceptor tenantInterceptor new TenantLineInnerInterceptor(); tenantInterceptor.setTenantLineHandler(new TenantLineHandler() { Override public Expression getTenantId() { // 从当前线程获取租户ID Long tenantId TenantContext.getCurrentTenantId(); if (tenantId null) { throw new RuntimeException(未设置租户ID); } return new LongValue(tenantId); } Override public String getTenantIdColumn() { return tenant_id; // 对应数据库字段名 } Override public boolean ignoreTable(String tableName) { // 租户表本身不需要过滤 return tenant.equalsIgnoreCase(tableName); } }); interceptor.addInnerInterceptor(tenantInterceptor); return interceptor; } }3.2 实现租户上下文管理租户信息需要在一次请求中保持一致使用 ThreadLocal 存储当前租户public class TenantContext { private static final ThreadLocalLong CURRENT_TENANT new ThreadLocal(); public static void setCurrentTenant(Long tenantId) { CURRENT_TENANT.set(tenantId); } public static Long getCurrentTenantId() { return CURRENT_TENANT.get(); } public static void clear() { CURRENT_TENANT.remove(); } }3.3 配置 Spring Security 认证流程Spring Security 负责用户认证和基础权限控制Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(authz - authz .requestMatchers(/api/auth/login).permitAll() .requestMatchers(/api/admin/**).hasRole(ADMIN) .anyRequest().authenticated() ) .sessionManagement(session - session .sessionCreationPolicy(SessionCreationPolicy.STATELESS) ) .csrf(csrf - csrf.disable()); // API 项目可禁用 CSRF return http.build(); } Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }3.4 实现 JWT 令牌认证对于前后端分离项目使用 JWT 替代 Session 管理登录状态Service public class JwtTokenService { private final String secret your-jwt-secret-key-at-least-32-chars; private final long expiration 86400000; // 24小时 public String generateToken(UserDetails userDetails) { MapString, Object claims new HashMap(); claims.put(tenantId, getTenantIdFromUser(userDetails)); return Jwts.builder() .setClaims(claims) .setSubject(userDetails.getUsername()) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() expiration)) .signWith(SignatureAlgorithm.HS256, secret) .compact(); } public boolean validateToken(String token, UserDetails userDetails) { final String username extractUsername(token); return (username.equals(userDetails.getUsername()) !isTokenExpired(token)); } private String extractUsername(String token) { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getSubject(); } private boolean isTokenExpired(String token) { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getExpiration().before(new Date()); } public Long extractTenantId(String token) { Claims claims Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody(); return claims.get(tenantId, Long.class); } }4. 关键业务逻辑实现4.1 用户登录与租户上下文设置登录接口需要完成认证并设置当前租户上下文RestController RequestMapping(/api/auth) public class AuthController { Autowired private UserService userService; Autowired private JwtTokenService jwtTokenService; PostMapping(/login) public ResponseEntityMapString, Object login(RequestBody LoginRequest request) { // 1. 认证用户 UserDetails userDetails userService.loadUserByUsername(request.getUsername()); if (!passwordEncoder.matches(request.getPassword(), userDetails.getPassword())) { throw new BadCredentialsException(用户名或密码错误); } // 2. 生成令牌 String token jwtTokenService.generateToken(userDetails); // 3. 设置租户上下文后续过滤器会使用 Long tenantId ((CustomUserDetails) userDetails).getTenantId(); TenantContext.setCurrentTenant(tenantId); MapString, Object result new HashMap(); result.put(token, token); result.put(tenantId, tenantId); result.put(username, userDetails.getUsername()); return ResponseEntity.ok(result); } }4.2 订单查询的权限控制实现订单查询需要确保用户只能访问自己租户的数据Service public class OrderService { Autowired private OrderMapper orderMapper; public Order getOrderById(Long orderId) { // MyBatis-Plus 会自动附加 tenant_id 条件 Order order orderMapper.selectById(orderId); if (order null) { throw new RuntimeException(订单不存在); } // 额外检查确保订单属于当前用户防止水平越权 Long currentUserId SecurityUtils.getCurrentUserId(); if (!order.getUserId().equals(currentUserId)) { throw new RuntimeException(无权访问此订单); } return order; } public PageOrder getOrdersByUser(int page, int size) { Long userId SecurityUtils.getCurrentUserId(); // 构建查询条件租户ID自动附加这里只需指定用户ID QueryWrapperOrder wrapper new QueryWrapper(); wrapper.eq(user_id, userId) .orderByDesc(create_time); PageOrder pageParam new Page(page, size); return orderMapper.selectPage(pageParam, wrapper); } }4.3 管理员功能的特殊处理管理员可以查看租户内所有数据但依然不能跨租户访问Service public class AdminOrderService { public PageOrder getAllOrders(int page, int size) { // 管理员查询时不限制用户ID但租户隔离依然生效 QueryWrapperOrder wrapper new QueryWrapper(); wrapper.orderByDesc(create_time); PageOrder pageParam new Page(page, size); return orderMapper.selectPage(pageParam, wrapper); } public void exportOrders(HttpServletResponse response) { // 导出功能同样受租户限制 ListOrder orders orderMapper.selectList(new QueryWrapperOrder()); // 生成Excel文件 // ... 实现导出逻辑 } }5. 运行验证与测试方案5.1 单元测试验证权限控制使用 Spring Boot Test 编写权限测试用例SpringBootTest class OrderServiceTest { Autowired private OrderService orderService; Test void testGetOrder_UserCanAccessOwnOrder() { // 模拟用户A登录 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(1L, USER); Order order orderService.getOrderById(1L); assertNotNull(order); assertEquals(1L, order.getUserId().longValue()); } Test void testGetOrder_UserCannotAccessOtherUserOrder() { // 用户A尝试访问用户B的订单 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(1L, USER); assertThrows(RuntimeException.class, () - { orderService.getOrderById(2L); // 订单2属于用户B }); } Test void testGetOrder_AdminCanAccessAllOrdersInTenant() { // 管理员可以查看租户内所有订单 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(99L, ADMIN); Order order orderService.getOrderById(2L); assertNotNull(order); assertEquals(1L, order.getTenantId().longValue()); } }5.2 集成测试模拟多租户场景使用 Testcontainers 进行数据库集成测试Testcontainers SpringBootTest class MultiTenantIntegrationTest { Container static MySQLContainer? mysql new MySQLContainer(mysql:8.0); DynamicPropertySource static void configureProperties(DynamicPropertyRegistry registry) { registry.add(spring.datasource.url, mysql::getJdbcUrl); registry.add(spring.datasource.username, mysql::getUsername); registry.add(spring.datasource.password, mysql::getPassword); } Test void testTenantIsolation() { // 插入租户A的数据 TenantContext.setCurrentTenant(1L); Order orderA new Order(); orderA.setUserId(1L); orderMapper.insert(orderA); // 切换租户B上下文 TenantContext.setCurrentTenant(2L); Order orderB new Order(); orderB.setUserId(1L); orderMapper.insert(orderB); // 验证租户A只能看到自己的数据 TenantContext.setCurrentTenant(1L); ListOrder orders orderMapper.selectList(null); assertEquals(1, orders.size()); assertEquals(1L, orders.get(0).getTenantId().longValue()); } }5.3 API 测试使用 Postman 验证接口创建 Postman 测试集合覆盖以下场景正常登录获取令牌并访问受保护接口越权访问修改订单ID尝试访问他人数据租户隔离使用不同租户令牌访问同一接口角色权限普通用户尝试访问管理员接口测试脚本示例// 在Tests标签中编写验证脚本 pm.test(响应包含租户隔离数据, function () { var jsonData pm.response.json(); // 验证返回的数据都属于当前租户 jsonData.data.forEach(function(item) { pm.expect(item.tenantId).to.eql(pm.environment.get(currentTenantId)); }); }); pm.test(无权访问返回403, function () { pm.response.to.have.status(403); });6. 常见问题排查与解决方案6.1 权限相关错误现象与处理问题现象可能原因检查方式解决方案查询结果包含其他租户数据多租户插件未生效检查 SQL 日志是否包含 tenant_id 条件确认 MyBatis-Plus 配置正确TenantContext 已设置用户能访问他人数据业务层缺少用户ID验证查看代码是否只依赖租户隔离在 Service 层增加数据归属检查管理员无法查看所有数据查询条件过度限制检查管理员接口的查询逻辑为管理员角色实现特殊查询方法JWT 令牌失效后仍能访问令牌黑名单未生效检查 Redis 中令牌状态实现令牌注销机制校验时检查黑名单6.2 性能问题排查路径多租户系统常见的性能问题及优化方案索引缺失为tenant_id和常用查询字段创建复合索引查询全表避免在租户数据量大时使用无条件查询上下文切换确保 TenantContext 在异步任务中正确传递缓存污染Redis 缓存键必须包含租户ID前缀优化后的缓存使用示例Service public class OrderCacheService { private static final String CACHE_PREFIX order:%s:; // 租户ID:订单ID public Order getOrderWithCache(Long orderId) { Long tenantId TenantContext.getCurrentTenantId(); String cacheKey String.format(CACHE_PREFIX, tenantId) orderId; // 先从缓存获取 Order order redisTemplate.opsForValue().get(cacheKey); if (order ! null) { return order; } // 缓存未命中查询数据库 order orderMapper.selectById(orderId); if (order ! null) { redisTemplate.opsForValue().set(cacheKey, order, Duration.ofMinutes(30)); } return order; } }6.3 安全审计与日志记录关键操作必须记录审计日志便于事后追踪Aspect Component public class AuditAspect { Autowired private AuditLogService auditLogService; Around(annotation(auditLog)) public Object aroundAdvice(ProceedingJoinPoint joinPoint, AuditLog auditLog) throws Throwable { Long userId SecurityUtils.getCurrentUserId(); Long tenantId TenantContext.getCurrentTenantId(); String operation auditLog.value(); long startTime System.currentTimeMillis(); try { Object result joinPoint.proceed(); long duration System.currentTimeMillis() - startTime; // 记录成功操作 auditLogService.logSuccess(tenantId, userId, operation, duration); return result; } catch (Exception e) { long duration System.currentTimeMillis() - startTime; // 记录失败操作 auditLogService.logFailure(tenantId, userId, operation, e.getMessage(), duration); throw e; } } } // 使用注解标记需要审计的方法 AuditLog(查询订单详情) public Order getOrderById(Long orderId) { // 业务逻辑 }7. 生产环境最佳实践7.1 安全加固措施上线前必须完成的安全检查清单[ ] 密码使用 BCrypt 加密强度因子 ≥ 10[ ] JWT 密钥长度 ≥ 32 字符定期轮换[ ] 接口限流防止暴力破解[ ] 敏感操作需要二次认证[ ] 定期审计权限分配情况[ ] 日志脱敏避免记录密码等敏感信息7.2 性能优化建议高并发场景下的优化方向数据库层面读写分离、分库分表按租户分片缓存策略多级缓存、缓存预热、过期策略优化查询优化避免 N1 查询使用连接查询或批量操作异步处理审计日志、消息通知等非核心操作异步化7.3 监控与告警配置生产环境需要监控的关键指标租户数据量增长趋势接口响应时间按租户区分错误率与异常类型分布登录失败频率防暴力破解内存与数据库连接使用情况使用 Prometheus Grafana 配置监控看板设置以下告警规则groups: - name: multi-tenant-app rules: - alert: HighErrorRate expr: rate(http_requests_total{status~5..}[5m]) 0.1 labels: severity: warning annotations: summary: 应用错误率过高 - alert: TenantDataGrowth expr: increase(tenant_table_rows_total[24h]) 100000 labels: severity: info annotations: summary: 租户数据增长过快考虑分表7.4 灾难恢复与数据备份多租户系统的备份策略需要特别注意按租户重要性分级备份核心租户数据实时备份普通租户每日备份备份验证定期恢复测试确保备份文件可用数据清理建立历史数据归档机制避免单表过大迁移方案为租户提供数据导出功能支持跨环境迁移通过以上完整方案可以构建一个安全、稳定、可扩展的多租户系统。实际项目中还需要根据业务特点调整权限粒度、数据隔离策略和性能优化方案。最重要的是建立持续的安全审计机制及时发现和修复潜在漏洞。
Spring Security多租户系统权限控制实战：RBAC模型与数据隔离
在实际软件开发中权限控制和数据隔离是保障系统安全的核心机制。很多项目初期只关注功能实现忽略了权限边界的设计导致后期出现越权访问、数据泄露等严重问题。本文将以一个典型的多租户 SaaS 系统为例讲解如何从零构建一套完整的权限防护体系重点覆盖用户认证、资源隔离、操作审计和常见漏洞防范。适合需要为 Web 应用、移动端或微服务系统设计安全方案的开发者和架构师。通过本文你将掌握如何设计基于角色的访问控制模型实现数据层面的自动隔离并通过日志审计追踪异常操作。文章包含完整的 Spring Boot Spring Security 技术栈示例涵盖配置、代码、测试和排查路径可直接用于学习或项目参考。1. 理解权限漏洞的典型场景与防护目标1.1 为什么简单的权限检查不够用很多初级开发者认为权限控制就是登录后检查用户角色例如管理员能看到所有数据普通用户只能看到自己的数据。这种粗粒度控制在实际项目中至少存在三类漏洞水平越权用户 A 通过修改 URL 参数如/orders/123改为/orders/456访问到了用户 B 的数据。垂直越权普通用户通过功能漏洞获取了管理员接口的调用权限。数据泄露查询条件缺失租户隔离导致用户能看到其他租户的数据。这些漏洞的根源在于权限检查没有与数据查询深度绑定仅靠界面隐藏或路由守卫无法防范直接接口调用。1.2 多租户系统的核心防护需求以一个支持多个企业使用的 SaaS 系统为例完整的权限防护需要满足租户隔离每个企业的数据完全隔离包括数据库、文件存储和缓存。角色权限企业内部区分管理员、普通员工等角色控制功能访问。操作审计记录关键数据操作便于追踪和定责。接口安全防止参数篡改、批量查询和越权操作。下面我们将基于 Spring Security 和 MyBatis-Plus 实现这套方案。2. 环境准备与项目结构2.1 技术选型与版本要求本项目基于以下技术栈版本选择长期支持版以避免兼容性问题Java 17LTS 版本Spring Boot 3.0.5Spring Security 6.0.2MyBatis-Plus 3.5.3.1MySQL 8.0Redis 7.0在pom.xml中配置核心依赖dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-security/artifactId /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-data-redis/artifactId /dependency dependency groupIdcom.baomidou/groupId artifactIdmybatis-plus-boot-starter/artifactId version3.5.3.1/version /dependency dependency groupIdmysql/groupId artifactIdmysql-connector-java/artifactId version8.0.33/version /dependency /dependencies2.2 数据库表结构设计多租户系统的核心是在每张业务表增加租户标识字段。以下是用户表和订单表的最小设计-- 租户表 CREATE TABLE tenant ( id BIGINT PRIMARY KEY AUTO_INCREMENT, name VARCHAR(100) NOT NULL COMMENT 租户名称, status TINYINT DEFAULT 1 COMMENT 状态1-正常0-禁用, create_time DATETIME DEFAULT CURRENT_TIMESTAMP ); -- 用户表包含租户隔离字段 CREATE TABLE user ( id BIGINT PRIMARY KEY AUTO_INCREMENT, tenant_id BIGINT NOT NULL COMMENT 租户ID, username VARCHAR(50) NOT NULL UNIQUE COMMENT 用户名, password VARCHAR(100) NOT NULL COMMENT 加密密码, role VARCHAR(20) NOT NULL COMMENT 角色ADMIN, USER, status TINYINT DEFAULT 1 COMMENT 状态1-正常0-禁用, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, INDEX idx_tenant_id (tenant_id) ); -- 订单表包含租户隔离字段 CREATE TABLE orders ( id BIGINT PRIMARY KEY AUTO_INCREMENT, tenant_id BIGINT NOT NULL COMMENT 租户ID, user_id BIGINT NOT NULL COMMENT 下单用户ID, order_no VARCHAR(50) NOT NULL COMMENT 订单号, amount DECIMAL(10,2) NOT NULL COMMENT 订单金额, create_time DATETIME DEFAULT CURRENT_TIMESTAMP, INDEX idx_tenant_id (tenant_id), FOREIGN KEY (user_id) REFERENCES user(id) );关键设计点所有业务表必须包含tenant_id字段为tenant_id建立索引提升查询性能外键关联的表需要确保在同一个租户内2.3 项目包结构规划保持清晰的项目结构有助于维护权限逻辑src/main/java/com/example/multitenant/ ├── config/ # 配置类 │ ├── SecurityConfig.java │ ├── MybatisPlusConfig.java │ └── RedisConfig.java ├── entity/ # 实体类 │ ├── Tenant.java │ ├── User.java │ └── Order.java ├── mapper/ # MyBatis Mapper │ ├── UserMapper.java │ └── OrderMapper.java ├── service/ # 业务层 │ ├── UserService.java │ └── OrderService.java ├── controller/ # 控制层 │ ├── AuthController.java │ └── OrderController.java └── common/ # 通用组件 ├── TenantContext.java ├── SecurityUtils.java └── AuditAspect.java3. 实现租户隔离与权限控制3.1 配置 MyBatis-Plus 多租户插件MyBatis-Plus 提供了多租户插件可以自动在 SQL 中附加租户条件Configuration public class MybatisPlusConfig { Bean public MybatisPlusInterceptor mybatisPlusInterceptor() { MybatisPlusInterceptor interceptor new MybatisPlusInterceptor(); // 多租户插件 TenantLineInnerInterceptor tenantInterceptor new TenantLineInnerInterceptor(); tenantInterceptor.setTenantLineHandler(new TenantLineHandler() { Override public Expression getTenantId() { // 从当前线程获取租户ID Long tenantId TenantContext.getCurrentTenantId(); if (tenantId null) { throw new RuntimeException(未设置租户ID); } return new LongValue(tenantId); } Override public String getTenantIdColumn() { return tenant_id; // 对应数据库字段名 } Override public boolean ignoreTable(String tableName) { // 租户表本身不需要过滤 return tenant.equalsIgnoreCase(tableName); } }); interceptor.addInnerInterceptor(tenantInterceptor); return interceptor; } }3.2 实现租户上下文管理租户信息需要在一次请求中保持一致使用 ThreadLocal 存储当前租户public class TenantContext { private static final ThreadLocalLong CURRENT_TENANT new ThreadLocal(); public static void setCurrentTenant(Long tenantId) { CURRENT_TENANT.set(tenantId); } public static Long getCurrentTenantId() { return CURRENT_TENANT.get(); } public static void clear() { CURRENT_TENANT.remove(); } }3.3 配置 Spring Security 认证流程Spring Security 负责用户认证和基础权限控制Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(authz - authz .requestMatchers(/api/auth/login).permitAll() .requestMatchers(/api/admin/**).hasRole(ADMIN) .anyRequest().authenticated() ) .sessionManagement(session - session .sessionCreationPolicy(SessionCreationPolicy.STATELESS) ) .csrf(csrf - csrf.disable()); // API 项目可禁用 CSRF return http.build(); } Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } }3.4 实现 JWT 令牌认证对于前后端分离项目使用 JWT 替代 Session 管理登录状态Service public class JwtTokenService { private final String secret your-jwt-secret-key-at-least-32-chars; private final long expiration 86400000; // 24小时 public String generateToken(UserDetails userDetails) { MapString, Object claims new HashMap(); claims.put(tenantId, getTenantIdFromUser(userDetails)); return Jwts.builder() .setClaims(claims) .setSubject(userDetails.getUsername()) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() expiration)) .signWith(SignatureAlgorithm.HS256, secret) .compact(); } public boolean validateToken(String token, UserDetails userDetails) { final String username extractUsername(token); return (username.equals(userDetails.getUsername()) !isTokenExpired(token)); } private String extractUsername(String token) { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getSubject(); } private boolean isTokenExpired(String token) { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody().getExpiration().before(new Date()); } public Long extractTenantId(String token) { Claims claims Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody(); return claims.get(tenantId, Long.class); } }4. 关键业务逻辑实现4.1 用户登录与租户上下文设置登录接口需要完成认证并设置当前租户上下文RestController RequestMapping(/api/auth) public class AuthController { Autowired private UserService userService; Autowired private JwtTokenService jwtTokenService; PostMapping(/login) public ResponseEntityMapString, Object login(RequestBody LoginRequest request) { // 1. 认证用户 UserDetails userDetails userService.loadUserByUsername(request.getUsername()); if (!passwordEncoder.matches(request.getPassword(), userDetails.getPassword())) { throw new BadCredentialsException(用户名或密码错误); } // 2. 生成令牌 String token jwtTokenService.generateToken(userDetails); // 3. 设置租户上下文后续过滤器会使用 Long tenantId ((CustomUserDetails) userDetails).getTenantId(); TenantContext.setCurrentTenant(tenantId); MapString, Object result new HashMap(); result.put(token, token); result.put(tenantId, tenantId); result.put(username, userDetails.getUsername()); return ResponseEntity.ok(result); } }4.2 订单查询的权限控制实现订单查询需要确保用户只能访问自己租户的数据Service public class OrderService { Autowired private OrderMapper orderMapper; public Order getOrderById(Long orderId) { // MyBatis-Plus 会自动附加 tenant_id 条件 Order order orderMapper.selectById(orderId); if (order null) { throw new RuntimeException(订单不存在); } // 额外检查确保订单属于当前用户防止水平越权 Long currentUserId SecurityUtils.getCurrentUserId(); if (!order.getUserId().equals(currentUserId)) { throw new RuntimeException(无权访问此订单); } return order; } public PageOrder getOrdersByUser(int page, int size) { Long userId SecurityUtils.getCurrentUserId(); // 构建查询条件租户ID自动附加这里只需指定用户ID QueryWrapperOrder wrapper new QueryWrapper(); wrapper.eq(user_id, userId) .orderByDesc(create_time); PageOrder pageParam new Page(page, size); return orderMapper.selectPage(pageParam, wrapper); } }4.3 管理员功能的特殊处理管理员可以查看租户内所有数据但依然不能跨租户访问Service public class AdminOrderService { public PageOrder getAllOrders(int page, int size) { // 管理员查询时不限制用户ID但租户隔离依然生效 QueryWrapperOrder wrapper new QueryWrapper(); wrapper.orderByDesc(create_time); PageOrder pageParam new Page(page, size); return orderMapper.selectPage(pageParam, wrapper); } public void exportOrders(HttpServletResponse response) { // 导出功能同样受租户限制 ListOrder orders orderMapper.selectList(new QueryWrapperOrder()); // 生成Excel文件 // ... 实现导出逻辑 } }5. 运行验证与测试方案5.1 单元测试验证权限控制使用 Spring Boot Test 编写权限测试用例SpringBootTest class OrderServiceTest { Autowired private OrderService orderService; Test void testGetOrder_UserCanAccessOwnOrder() { // 模拟用户A登录 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(1L, USER); Order order orderService.getOrderById(1L); assertNotNull(order); assertEquals(1L, order.getUserId().longValue()); } Test void testGetOrder_UserCannotAccessOtherUserOrder() { // 用户A尝试访问用户B的订单 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(1L, USER); assertThrows(RuntimeException.class, () - { orderService.getOrderById(2L); // 订单2属于用户B }); } Test void testGetOrder_AdminCanAccessAllOrdersInTenant() { // 管理员可以查看租户内所有订单 TenantContext.setCurrentTenant(1L); SecurityUtils.mockCurrentUser(99L, ADMIN); Order order orderService.getOrderById(2L); assertNotNull(order); assertEquals(1L, order.getTenantId().longValue()); } }5.2 集成测试模拟多租户场景使用 Testcontainers 进行数据库集成测试Testcontainers SpringBootTest class MultiTenantIntegrationTest { Container static MySQLContainer? mysql new MySQLContainer(mysql:8.0); DynamicPropertySource static void configureProperties(DynamicPropertyRegistry registry) { registry.add(spring.datasource.url, mysql::getJdbcUrl); registry.add(spring.datasource.username, mysql::getUsername); registry.add(spring.datasource.password, mysql::getPassword); } Test void testTenantIsolation() { // 插入租户A的数据 TenantContext.setCurrentTenant(1L); Order orderA new Order(); orderA.setUserId(1L); orderMapper.insert(orderA); // 切换租户B上下文 TenantContext.setCurrentTenant(2L); Order orderB new Order(); orderB.setUserId(1L); orderMapper.insert(orderB); // 验证租户A只能看到自己的数据 TenantContext.setCurrentTenant(1L); ListOrder orders orderMapper.selectList(null); assertEquals(1, orders.size()); assertEquals(1L, orders.get(0).getTenantId().longValue()); } }5.3 API 测试使用 Postman 验证接口创建 Postman 测试集合覆盖以下场景正常登录获取令牌并访问受保护接口越权访问修改订单ID尝试访问他人数据租户隔离使用不同租户令牌访问同一接口角色权限普通用户尝试访问管理员接口测试脚本示例// 在Tests标签中编写验证脚本 pm.test(响应包含租户隔离数据, function () { var jsonData pm.response.json(); // 验证返回的数据都属于当前租户 jsonData.data.forEach(function(item) { pm.expect(item.tenantId).to.eql(pm.environment.get(currentTenantId)); }); }); pm.test(无权访问返回403, function () { pm.response.to.have.status(403); });6. 常见问题排查与解决方案6.1 权限相关错误现象与处理问题现象可能原因检查方式解决方案查询结果包含其他租户数据多租户插件未生效检查 SQL 日志是否包含 tenant_id 条件确认 MyBatis-Plus 配置正确TenantContext 已设置用户能访问他人数据业务层缺少用户ID验证查看代码是否只依赖租户隔离在 Service 层增加数据归属检查管理员无法查看所有数据查询条件过度限制检查管理员接口的查询逻辑为管理员角色实现特殊查询方法JWT 令牌失效后仍能访问令牌黑名单未生效检查 Redis 中令牌状态实现令牌注销机制校验时检查黑名单6.2 性能问题排查路径多租户系统常见的性能问题及优化方案索引缺失为tenant_id和常用查询字段创建复合索引查询全表避免在租户数据量大时使用无条件查询上下文切换确保 TenantContext 在异步任务中正确传递缓存污染Redis 缓存键必须包含租户ID前缀优化后的缓存使用示例Service public class OrderCacheService { private static final String CACHE_PREFIX order:%s:; // 租户ID:订单ID public Order getOrderWithCache(Long orderId) { Long tenantId TenantContext.getCurrentTenantId(); String cacheKey String.format(CACHE_PREFIX, tenantId) orderId; // 先从缓存获取 Order order redisTemplate.opsForValue().get(cacheKey); if (order ! null) { return order; } // 缓存未命中查询数据库 order orderMapper.selectById(orderId); if (order ! null) { redisTemplate.opsForValue().set(cacheKey, order, Duration.ofMinutes(30)); } return order; } }6.3 安全审计与日志记录关键操作必须记录审计日志便于事后追踪Aspect Component public class AuditAspect { Autowired private AuditLogService auditLogService; Around(annotation(auditLog)) public Object aroundAdvice(ProceedingJoinPoint joinPoint, AuditLog auditLog) throws Throwable { Long userId SecurityUtils.getCurrentUserId(); Long tenantId TenantContext.getCurrentTenantId(); String operation auditLog.value(); long startTime System.currentTimeMillis(); try { Object result joinPoint.proceed(); long duration System.currentTimeMillis() - startTime; // 记录成功操作 auditLogService.logSuccess(tenantId, userId, operation, duration); return result; } catch (Exception e) { long duration System.currentTimeMillis() - startTime; // 记录失败操作 auditLogService.logFailure(tenantId, userId, operation, e.getMessage(), duration); throw e; } } } // 使用注解标记需要审计的方法 AuditLog(查询订单详情) public Order getOrderById(Long orderId) { // 业务逻辑 }7. 生产环境最佳实践7.1 安全加固措施上线前必须完成的安全检查清单[ ] 密码使用 BCrypt 加密强度因子 ≥ 10[ ] JWT 密钥长度 ≥ 32 字符定期轮换[ ] 接口限流防止暴力破解[ ] 敏感操作需要二次认证[ ] 定期审计权限分配情况[ ] 日志脱敏避免记录密码等敏感信息7.2 性能优化建议高并发场景下的优化方向数据库层面读写分离、分库分表按租户分片缓存策略多级缓存、缓存预热、过期策略优化查询优化避免 N1 查询使用连接查询或批量操作异步处理审计日志、消息通知等非核心操作异步化7.3 监控与告警配置生产环境需要监控的关键指标租户数据量增长趋势接口响应时间按租户区分错误率与异常类型分布登录失败频率防暴力破解内存与数据库连接使用情况使用 Prometheus Grafana 配置监控看板设置以下告警规则groups: - name: multi-tenant-app rules: - alert: HighErrorRate expr: rate(http_requests_total{status~5..}[5m]) 0.1 labels: severity: warning annotations: summary: 应用错误率过高 - alert: TenantDataGrowth expr: increase(tenant_table_rows_total[24h]) 100000 labels: severity: info annotations: summary: 租户数据增长过快考虑分表7.4 灾难恢复与数据备份多租户系统的备份策略需要特别注意按租户重要性分级备份核心租户数据实时备份普通租户每日备份备份验证定期恢复测试确保备份文件可用数据清理建立历史数据归档机制避免单表过大迁移方案为租户提供数据导出功能支持跨环境迁移通过以上完整方案可以构建一个安全、稳定、可扩展的多租户系统。实际项目中还需要根据业务特点调整权限粒度、数据隔离策略和性能优化方案。最重要的是建立持续的安全审计机制及时发现和修复潜在漏洞。
