PostgreSQL schema隔离是唯一能真正兜底的方案，因字段级隔离在Golang+Gin中易因GORM的Preload/Count/Raw绕过Scopes、context.Value透传tenant_id存在panic/丢失/测试难覆盖等运行时硬伤，必须用search_path+sync.Map缓存租户专属*sql.DB并限流连接池。
PostgreSQL schema 隔离是唯一能真正兜底的方案，字段级隔离（tenant_id）在 Golang + Gin 场景下极易因 Preload、Count、Raw 或异步任务漏传而触发 P0 数据泄露——这不是写法问题，是 GORM 运行时机制决定的。
为什么不能靠 context.Value(tenantKey{}) 透传租户 ID
把 tenantID 塞进 context.Context 再一路传到 DAO 层，等于把数据隔离责任甩给每个调用点。实际运行中会立刻暴露三个硬伤：
-
ctx.Value(tenantKey{})类型断言失败直接 panic，尤其在time.AfterFunc、消息消费 goroutine 或 gin 中间件链断裂时无从捕获 - 异步任务（如 cron job、kafka handler）根本没 HTTP context，
tenantID只能靠参数或 payload 显式带入，漏一个就裸查全库 - 单元测试常 mock DB 层，
db.Where("id = ?", 123).Find(&u)永远不会暴露出漏tenant_id条件的问题
PostgreSQL 下必须用 search_path + sync.Map 缓存独立 *sql.DB 实例
别信“连上 PG 后执行一次 SET search_path TO tenant_abc 就能复用连接池”——database/sql 不保留连接 session 状态，归还池后下次复用可能落到 public schema。
- 用
sync.Map缓存：tenantID→*sql.DB，key 推荐用子域名（如acme），不是 UUID - 首次获取时调用
sql.Open，立刻执行db.Exec("SET search_path TO " + schemaName) - 必须设置连接池参数：
db.SetMaxOpenConns(5)和db.SetConnMaxLifetime(5 * time.Minute)，否则 1000 租户 × 默认 100 连接 = PostgreSQL 直接拒绝新连接 - 禁止手写
"tenant_acme.users"拼表名——破坏 GORM 的BeforeCreate钩子、事务边界和迁移能力
GORM Preload / Count / Raw 怎么强制走租户隔离
db.Preload("Orders").First(&user) 默认加载全库订单，db.Count(&count) 返回所有租户总数，db.Raw("SELECT * FROM users") 完全绕过任何 scope——GORM v2+ 根本不透传 tenantID 到这些方法里。
立即学习“go语言免费学习笔记（深入）”；
-
Preload必须显式加条件：db.Preload("Orders", func(db *gorm.DB) *gorm.DB { return db.Where("tenant_id = ?", tenantID) }) -
Count必须带 where：db.Where("tenant_id = ? AND status = ?", tenantID, "active").Model(&Order{}).Count(&count) -
Raw查询必须手动拼tenant_id条件，或改用db.Session(&gorm.Session{DryRun: true}).Preload(...)先看生成 SQL 是否含租户条件 - 软删除字段
deleted_at必须和tenant_id同级约束：Where("tenant_id = ? AND deleted_at IS NULL", tenantID)，否则Unscoped()一调就跨租户
缓存键、日志、表索引必须硬编码 tenant_id
Redis 里存 "config" 这种键，等于让所有租户竞争同一个值；日志里没 tenant_id 字段，出问题根本没法定位归属；users 表只对 email 建索引，WHERE tenant_id = ? AND email = ? 查询照样秒级延迟。
- 所有缓存 key 必须含
tenant_id："tenant:{tenant_id}:config"或"tenant:{tenant_id}:user:{id}" - 每条日志结构体硬编码
tenant_id string字段，且中间件写日志前必须校验非空 - 每张业务表的
tenant_id字段必须建联合索引，例如(tenant_id, email)、(tenant_id, created_at)
最易被忽略的是：MySQL 下没有 search_path，硬套 PostgreSQL 的 schema 方案只会让连接池失控；而字段隔离若没做到 DAO 方法签名强制带 tenantID string、所有 SQL 路径（包括后台任务、定时器、第三方 SDK 调用）都补条件，就只是纸面安全。
