PostgreSQL行级安全RLS与多租户隔离实践

概述RLS 允许按行控制访问，适合多租户隔离。本文提供租户上下文与策略设计、权限与视图/函数封装，以及验证与审计方法，避免应用侧绕过风险。策略设计（已验证）租户列：为所有敏感表添加 `tenant_id`；上下文：通过 `set_config('app.tenant_id', '...', true)` 或 `ALTER ROLE SET` 注入会话租户；Policy：`USING (tenant_id = current_setting('app.tenant_id')::uuid)`；插入策略：`WITH CHECK (tenant_id = current_setting('app.tenant_id')::uuid)`。示例（片段）ALTER TABLE orders ENABLE ROW LEVEL SECURITY; CREATE POLICY orders_tenant_isolation ON orders USING (tenant_id = current_setting('app.tenant_id')::uuid) WITH CHECK (tenant_id = current_setting('app.tenant_id')::uuid); 封装与权限仅暴露视图/函数给应用角色；最小权限：禁止直接表访问；审计：记录角色与租户上下文。验证与监控用例：不同租户读写互不可见；无上下文拒绝访问；指标：策略命中与拒绝计数；常见误区应用未设置上下文导致越权或拒绝；忽略 `WITH CHECK` 造成写入越权；结语以租户上下文与 Policy 为核心，结合最小权限与视图/函数封装，并以验证与审计，RLS 能在生产中实现强隔离与可维护的多租户架构。