大型SaaS系统的数据范围权限设计与实现！

关注

转载最新推荐文章于 2026-05-20 13:48:44 发布 722 阅读 AI 写同款· GEO 优化 ›

芋道源码解析之数据权限 数据权限是一个比较常用的功能，芋道源码通过mybatis-plus自定义插件在SQL执行前拦截并解析到对应的表，根据数据权限规则对这些表追加where条件来实现数据权限控制，对于一些需要单独指定数据权限的业务方法，通过数据权限注解和结合线程上下文对加了注解的方法进行前置和后置的处理，把当前方法适用的数据权限规则传递给数据权限SQL解析器进行额外处理，使得数据权限规则既能全局生效又能局部调整。阅读详情

点击上方“芋道源码”，选择“设为星标”

管她前浪，还是后浪？

能浪的浪，才是好浪！

每天 10:33 更新文章，每天掉亿点点头发...

源码精品专栏

来源：码农参上

前言

多租户(Multi-Tenant)是SaaS中的一个重要概念，它是一种软件架构技术，在多个租户的环境下，共享同一套系统实例，并且租户之间的数据具有隔离性，也就是说一个租户不能去访问其他租户的数据。基于不同的隔离级别，通常具有下面三种实现方案：

每个租户使用独立DataBase，隔离级别高，性能好，但成本大
租户之间共享DataBase，使用独立的Schema
租户之间共享Schema，在表上添加租户字段，共享数据程度最高，隔离级别最低。

基于 Spring Boot + MyBatis Plus + Vue & Element 实现的后台管理系统 + 用户小程序，支持 RBAC 动态权限、多租户、数据权限、工作流、三方登录、支付、短信、商城等功能

项目地址：https://github.com/YunaiV/ruoyi-vue-pro
视频教程：https://doc.iocoder.cn/video/

数据库设计

Mybatis-plus在第3层隔离级别上，提供了基于分页插件的多租户的解决方案，我们对此来进行介绍。在正式开始前，首先做好准备工作创建两张表，在基础字段后都添加租户字段tenant_id：

CREATE TABLE `user` (
  `id` bigint(20) NOT NULL,
  `name` varchar(20) DEFAULT NULL,
  `phone` varchar(11) DEFAULT NULL,
  `address` varchar(64) DEFAULT NULL,
  `tenant_id` bigint(20) DEFAULT NULL,
  PRIMARY KEY (`id`)
)
CREATE TABLE `dept` (
  `id` bigint(20) NOT NULL,
  `dept_name` varchar(64) DEFAULT NULL,
  `comment` varchar(128) DEFAULT NULL,
  `tenant_id` bigint(20) DEFAULT NULL,
  PRIMARY KEY (`id`)
)

基于 Spring Cloud Alibaba + Gateway + Nacos + RocketMQ + Vue & Element 实现的后台管理系统 + 用户小程序，支持 RBAC 动态权限、多租户、数据权限、工作流、三方登录、支付、短信、商城等功能

项目地址：https://github.com/YunaiV/yudao-cloud
视频教程：https://doc.iocoder.cn/video/

引入依赖

在项目中导入需要的依赖：

<dependency>
    <groupId>com.baomidou</groupId>
    <artifactId>mybatis-plus-boot-starter</artifactId>
    <version>3.3.2</version>
</dependency>
<dependency>
<groupId>com.github.jsqlparser</groupId>
<artifactId>jsqlparser</artifactId>
<version>3.1</version>
</dependency>

实现

Mybatis-plus 配置类：

@EnableTransactionManagement(proxyTargetClass = true)
@Configuration
public class MybatisPlusConfig {
    @Bean
    public PaginationInterceptor paginationInterceptor() {
        PaginationInterceptor paginationInterceptor = new PaginationInterceptor();

        List<ISqlParser> sqlParserList=new ArrayList<>();
        TenantSqlParser tenantSqlParser=new TenantSqlParser();
        tenantSqlParser.setTenantHandler(new TenantHandler() {
            @Override
            public Expression getTenantId(boolean select) {
                String tenantId = "3";
                return new StringValue(tenantId);
            }

            @Override
            public String getTenantIdColumn() {
                return "tenant_id";
            }

            @Override
            public boolean doTableFilter(String tableName) {
                return false;
            }
        });

        sqlParserList.add(tenantSqlParser);
        paginationInterceptor.setSqlParserList(sqlParserList);
        return paginationInterceptor;
    }
}

这里主要实现的功能：

创建SQL解析器集合
创建租户SQL解析器
设置租户处理器，具体处理租户逻辑

这里暂时把租户的id固定写成3，来进行测试。测试执行全表语句：

public List<User> getUserList() {
        return userMapper.selectList(new LambdaQueryWrapper<User>().isNotNull(User::getId));
        }

使用插件解析执行的SQL语句，可以看到自动在查询条件后加上了租户过滤条件：

那么在实际的项目中，怎么将租户信息传给租户处理器呢，根据情况我们可以从缓存或者请求头中获取，以从Request请求头获取为例：

@Override
public Expression getTenantId(boolean select) {
        ServletRequestAttributes attributes=(ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
        HttpServletRequest request = attributes.getRequest();
        String tenantId = request.getHeader("tenantId");
        return new StringValue(tenantId);
        }

前端在发起http请求时，在Header中加入tenantId字段，后端在处理器中获取后，设置为当前这次请求的租户过滤条件。

如果是基于请求头携带租户信息的情况，那么在使用中可能会遇到一个坑，如果当使用多线程的时候，新开启的异步线程并不会自动携带当前线程的Request请求。

@Override
public List<User> getUserListByFuture() {
        Callable getUser=()-> userMapper.selectList(new LambdaQueryWrapper<User>().isNotNull(User::getId));
        FutureTask<List<User>> future=new FutureTask<>(getUser);
        new Thread(future).start();
        try {
        return future.get();
        } catch (Exception e) {
        e.printStackTrace();
        }
        return null;
        }

执行上面的方法，可以看出是获取不到当前的Request请求的，因此无法获得租户id，会导致后续报错空指针异常：

修改的话也非常简单，开启RequestAttributes的子线程共享，修改上面的代码：

@Override
public List<User> getUserListByFuture() {
        ServletRequestAttributes sra = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
        Callable getUser=()-> {
        RequestContextHolder.setRequestAttributes(sra, true);
        return userMapper.selectList(new LambdaQueryWrapper<User>().isNotNull(User::getId));
        };
        FutureTask<List<User>> future=new FutureTask<>(getUser);
        new Thread(future).start();
        try {
        return future.get();
        } catch (Exception e) {
        e.printStackTrace();
        }
        return null;
        }

这样修改后，在异步线程中也能正常的获取租户信息了。

那么，有的小伙伴可能要问了，在业务中并不是所有的查询都需要过滤租户条件啊，针对这种情况，有两种方式来进行处理。

1、如果整张表的所有SQL操作都不需要针对租户进行操作，那么就对表进行过滤，修改doTableFilter方法，添加表的名称：

@Override
public boolean doTableFilter(String tableName) {
        List<String> IGNORE_TENANT_TABLES= Arrays.asList("dept");
        return IGNORE_TENANT_TABLES.stream().anyMatch(e->e.equalsIgnoreCase(tableName));
        }

这样，在dept表的所有查询都不进行过滤：

2、如果有一些特定的SQL语句不想被执行租户过滤，可以通过@SqlParser注解的形式开启，注意注解只能加在Mapper接口的方法上：

@SqlParser(filter = true)
@Select("select * from user where name =#{name}")
User selectUserByName(@Param(value="name") String name);

或在分页拦截器中指定需要过滤的方法：

@Bean
public PaginationInterceptor paginationInterceptor() {
        PaginationInterceptor paginationInterceptor = new PaginationInterceptor();
        paginationInterceptor.setSqlParserFilter(metaObject->{
        MappedStatement ms = SqlParserHelper.getMappedStatement(metaObject);
        // 对应Mapper、dao中的方法
        if("com.cn.tenant.dao.UserMapper.selectUserByPhone".equals(ms.getId())){
        return true;
        }
        return false;
        });
        ...
        }

上面这两种方式实现的功能相同，但是如果需要过滤的SQL语句很多，那么第二种方式配置起来会比较麻烦，因此建议通过注解的方式进行过滤。

除此之外，还有一个比较容易踩的坑就是在复制Bean时，不要复制租户id字段，否则会导致SQL语句报错：

public void createSnapshot(Long userId){
        User user = userMapper.selectOne(new LambdaQueryWrapper<User>().eq(User::getId, userId));
        UserSnapshot userSnapshot=new UserSnapshot();
        BeanUtil.copyProperties(user,userSnapshot);
        userSnapshotMapper.insert(userSnapshot);
        }

查看报错可以看出，本身Bean的租户字段不为空的情况下，SQL又自动添加一次租户查询条件，因此导致了报错：

我们可以修改复制Bean语句，手动忽略租户id字段，这里使用的是hutool的BeanUtil工具类，可以添加忽略字段。

BeanUtil.copyProperties(user,userSnapshot,"tenantId");

在忽略了租户id的拷贝后，查询可以正常执行。

最后，再来看一下对联表查询的支持，首先看一下包含子查询的SQL：

@Select("select * from user where id in (select id from user_snapshot)")
List<User> selectSnapshot();

查看执行结果，可以看见，在子查询的内部也自动添加的租户查询条件：

再来看一下使用Join进行联表查询：

@Select("select u.* from user u left join user_snapshot us on u.id=us.id")
List<User> selectSnapshot();

同样，会在左右两张表上都添加租户的过滤条件：

再看一下不使用Join的普通联表查询：

@Select("select u.* from user u ,user_snapshot us,dept d where u.id=us.id and d.id is not null")
List<User> selectSnapshot();

查看执行结果，可以看见在这种情况下，只在FROM关键字后面的第一张表上添加了租户的过滤条件，因此如果使用这种查询方式，需要额外注意，用户需要手动在SQL语句中添加租户过滤。

欢迎加入我的知识星球，一起探讨架构，交流源码。加入方式，长按下方二维码噢：

已在知识星球更新源码解析如下：

最近更新《芋道 SpringBoot 2.X 入门》系列，已经 101 余篇，覆盖了 MyBatis、Redis、MongoDB、ES、分库分表、读写分离、SpringMVC、Webflux、权限、WebSocket、Dubbo、RabbitMQ、RocketMQ、Kafka、性能测试等等内容。

提供近 3W 行代码的 SpringBoot 示例，以及超 4W 行代码的电商微服务项目。

获取方式：点“在看”，关注公众号并回复 666 领取，更多内容陆续奉上。

文章有帮助的话，在看，转发吧。
谢谢支持哟 (*^__^*）

标签

#mybatis #java #数据库 #开发语言

原文链接：https://mp.weixin.qq.com/s?__biz=MzUzMTA2NTU2Ng==&mid=2247570350&idx=3&sn=ec43263c0e2c5cd5bf75e8b9cc179877&chksm=fa4bac1fcd3c2509c8ef8889c6e73c9a6c4afd75e63764cfc79b2fdf63fe21542d5490ada7c8&scene=126&sessionid=0>

SAAS系统下基于RBAC的权限设计（2） - 数据结构设计在SAAS管理端，前端使用Vue3，后端采用Java相关技术栈，以下所展示的数据结构仅作为参考，具体在项目实践中还需根据实际情况进行优化使用。以下数据结构已对后期的Client Site权限分配做了扩展准备，针对SAAS客户端，可做功能以及Api功能的权限隔离。阅读详情

大型SaaS系统的数据范围权限设计与实现！

前言

数据库设计

引入依赖

实现

相关推荐