SaaS 平台项目怎么讲租户隔离和配置扩展
业务流程
- 租户开通、套餐购买、功能授权。
- 租户内用户管理、角色配置、业务操作。
- 租户数据导出、账单生成、续费与停用。
详细流程说明
SaaS 平台项目的核心挑战是”多租户隔离”和”配置灵活性”：
- 租户生命周期管理：注册开通 → 套餐选择 → 功能授权 → 正常使用 → 续费/升级/降级 → 停用/数据保留。每个阶段涉及不同的数据状态和权限变化。
- 租户内管理：租户管理员创建子用户 → 分配角色和权限 → 配置业务规则 → 日常操作。不同租户可能有完全不同的配置和业务规则。
- 计费与账单：按套餐定价 → 使用量统计 → 账单生成 → 支付提醒 → 逾期处理 → 服务降级或停用。
风险点
- 租户间数据越权访问或泄露。
- 套餐变更后功能权限与数据边界不一致。
- 个性化配置冲突、升级后功能丢失。
风险点详解
租户隔离风险（最高优先级）：
- 数据越权：A 租户通过接口参数篡改访问 B 租户数据，这是 SaaS 最严重的安全问题。
- 缓存污染：多租户共享缓存时，缓存 key 没有包含租户 ID，导致数据串扰。
- 索引遗漏：数据库查询忘记加租户 ID 过滤条件，返回了其他租户的数据。
套餐变更风险：
- 升级场景：从基础版升级到专业版，新功能权限是否正确授予，历史数据是否兼容。
- 降级场景：从专业版降级到基础版，超出基础版限制的数据如何处理（如基础版最多 10 个用户，降级前有 50 个用户）。
- 续费场景：逾期后续费，服务是否正常恢复，数据是否完整。
- 停用场景：租户停用后数据保留策略，是否可恢复，保留多长时间。
配置冲突风险：
- 平台级配置与租户级配置冲突时，优先级如何确定。
- 租户自定义字段与平台升级新增字段命名冲突。
- 配置继承关系复杂时，最终配置值计算错误。
测试策略
- 租户隔离做跨租户数据访问校验。
- 套餐变更覆盖升级、降级、续费和停用。
- 配置继承与覆盖做场景组合验证。
租户隔离测试
- 接口层隔离：用 A 租户的 Token 访问 B 租户的资源 ID，验证返回 403 或 404。
- 数据库层隔离：检查所有多租户表的查询是否包含租户 ID 过滤条件。
- 缓存隔离：验证缓存 key 包含租户 ID，不同租户的缓存数据不串扰。
- 文件存储隔离：上传文件的存储路径包含租户 ID，不同租户文件不混用。
套餐变更测试
| 变更类型 | 测试要点 |
|---|---|
| 升级 | 新功能权限立即生效、历史数据兼容、计费周期正确 |
| 降级 | 超出限制的数据处理、已使用功能降级、数据不丢失 |
| 续费 | 服务恢复、数据完整、计费连续 |
| 停用 | 数据保留策略、可恢复性、通知机制 |
配置测试
- 优先级验证：平台默认配置 < 租户自定义配置 < 用户个人配置。
- 冲突检测：构造配置冲突场景，验证系统行为符合预期。
- 升级兼容：平台升级后，租户历史配置是否仍然有效。
可讲成果
- 租户隔离自动化后，跨租户越权问题零上线。
- 套餐变更回归形成标准化清单，支持快速迭代。
- 配置冲突检测集成到门禁，减少升级故障。
面试表达示例
项目背景：“我们的 SaaS 平台服务 100+ 企业租户，早期出现过租户间数据串扰的问题，虽然很快修复但影响很大。同时套餐变更和配置管理也越来越复杂，每次变更都需要大量手工验证。”
我的方案：“我建立了租户隔离自动化测试体系，每次发版自动跑跨租户访问验证用例。同时梳理了套餐变更的完整场景矩阵，形成标准化回归清单。”
项目成果：“租户隔离测试覆盖 4 个维度（接口、数据库、缓存、文件存储），跨租户越权问题零上线。套餐变更回归从 1 天缩短到 2 小时，支持每周快速迭代。“
高频追问准备
- 怎么测租户隔离？ 核心是”交叉验证”：用 A 租户身份访问 B 租户资源。自动化脚本遍历所有多租户接口，用不同租户 Token 交叉调用。
- 降级时超出限制的数据怎么处理？ 一般策略是”只读不写”：已有数据可以查看但不能新增，删除后名额释放。面试时要说明你验证了这个逻辑。
- 多租户数据隔离方案有哪些？ 三种常见方案：共享数据库共享 Schema（加租户 ID 字段）、共享数据库独立 Schema、独立数据库。根据成本和隔离要求选择。