SaaS租户边界与隔离迁移预检矩阵

怎样用于你的项目

这份清单用于梳理租户边界与迁出需求。DaoSales、BaoChat 的具体架构、隔离方式和可迁范围，由产品团队结合实际版本确认。

用虚构组织或脱敏场景说明隔离单元、共享范围与迁出用途。实际授权和检查条件先由负责人确认，客户记录与管理员凭据留在受控流程内。

窄屏可在表格区域横向滚动。

SaaS租户边界预检矩阵——隔离模型和迁出能力均待当前系统核查
边界事项	需要定义的范围	确认人与检查依据	不能默认的能力
隔离单元	组织、客户或项目如何区分，哪些对象属于哪个单元	业务与系统负责人确认定义及当前实现条件	不从产品名称或账号数量推定存在多租户模型
数据归属与共享	记录、附件及如有的索引或缓存分别归属谁，哪些可共享	资料与业务负责人定义，工程方核对实际位置和机制	不假定所有副本都会自动继承隔离规则，本文不证明实际架构
访问入口	页面、接口、导出和后台任务怎样识别访问范围	账号与系统负责人按授权条件确认正反向场景	岗位菜单、字段隐藏或单一入口结果不等于跨租户隔离已验收
单租户迁出	哪些对象和关系允许迁出，哪些不得带出其他单元	数据所有者、业务确认人与接手方	不默认可完整导出、自动拆分或迁出后直接导入新系统
隔离检查条件	允许访问与应拒绝访问的场景、样本与未覆盖入口	有权人员确认测试范围与检查记录	方案和样本定义不是安全测试通过或所有入口已阻断的证明
维护与例外授权	排障、共享或临时接手需要哪些例外，如何结束	业务授权人与系统接手人	不把维护身份或共享链接当成长期跨租户全权限，也不授予实际访问

将租户定义、共享例外和迁出范围分别与实际版本和授权检查对应。仍未核查的记录、附件、接口和副本边界保持待验证；实际迁出、配置或数据变更需要另行批准，模板不提供这些操作的许可。

按不同用户角色分菜单，就能证明SaaS租户隔离吗？

不能。岗位角色说明谁需要做什么，租户边界说明哪些组织或数据单元应被隔开。需要核对实际数据、页面外入口和授权结果；菜单差异不能证明跨租户访问已被拒绝。

为租户使用独立数据库，就一定完成隔离了吗？

不能只由这一条件判断。还需检查实际授权、接口、附件、相关副本与维护访问等边界。本文不说明产品采用哪种数据库架构，也没有执行隔离测试或提供安全认证。

单个租户迁出时怎样保留与其他租户的边界？

先明确允许迁出的对象、关系与共享例外，再约定授权样本和核对方式。是否能导出、怎样排除其他单元及谁接手都要查当前系统；本页没有导出或迁移真实数据。