分库分表如何支持租户隔离？
简化版
租户隔离可分共享表带 tenant_id、租户分片、独占库三级。应按合规、容量和噪声风险分层，并保证 tenant_id 同时参与路由、查询条件和权限校验。
“分库分表如何支持租户隔离？”不能只给组件名，还要交代路由范围、数据一致性、失败恢复和成本上限。
详细版
- 身份解析可信 tenantId。
- 路由到租户槽位。
- SQL 强制注入租户条件。
- 大租户可迁独占分片。
- 配额与加密键按租户隔离。
关键风险包括：不能信任请求体自报租户；缓存键必须包含 tenantId；后台任务也要带租户上下文；迁移期禁止跨租户误路由。
数字化说明：1000 小租户共享 8 片，若一个大租户占 40% QPS，平均分片模型失效；将其迁独占库可缩小噪声影响。
完整版教学
一、定义与边界
租户隔离可分共享表带 tenant_id、租户分片、独占库三级。应按合规、容量和噪声风险分层，并保证 tenant_id 同时参与路由、查询条件和权限校验。
对于“分库分表如何支持租户隔离？”，先区分逻辑表、物理分片和路由层。分片提升单节点容量上限，却把原本由单库提供的 Join、事务、排序和约束变成跨节点协调问题。
记忆钩子：理解“分库分表如何支持租户隔离？”时要记住，分库分表不是免费扩容；每减少一次单机压力，往往会增加一份路由、迁移或一致性成本。
二、核心执行流程
身份解析可信 tenantId，随后路由到租户槽位。
1. 身份解析可信 tenantId
2. 路由到租户槽位
3. SQL 强制注入租户条件
4. 大租户可迁独占分片
5. 配额与加密键按租户隔离在“分库分表如何支持租户隔离？”的链路中，先“SQL 强制注入租户条件”，再“大租户可迁独占分片”，最后“配额与加密键按租户隔离”。这些步骤描述的是正常执行顺序；异常恢复仍要依赖下一节的数据版本、幂等与对账机制。
三、数字算例
1000 小租户共享 8 片，若一个大租户占 40% QPS，平均分片模型失效；将其迁独占库可缩小噪声影响。
该算例说明“分库分表如何支持租户隔离？”必须估算扇出数、扫描行数、写放大、迁移速度或最慢分片，而不能只看单个物理库的平均耗时。
四、方案取舍
| 分库分表如何支持租户隔离？的取舍维度 | 低协调方案 | 强能力方案 | 代价 |
|---|---|---|---|
| 路由 | 强制携带分片键 | 允许索引或广播 | 后者增加读放大 |
| 一致性 | 单分片事务 | 跨片协调或补偿 | 延迟、锁与状态机增加 |
| 查询 | 预计算或单片下推 | 在线跨片归并 | 受最慢分片和内存约束 |
| 变更 | 固定逻辑槽 | 在线迁移路由 | 需双写、校验和回滚 |
选择“分库分表如何支持租户隔离？”的实现时，应先把正确性红线写出来，再在延迟、吞吐和开发复杂度间取舍；不能用透明中间件掩盖物理事实。
五、故障边界与恢复
- 不能信任请求体自报租户。
- 缓存键必须包含 tenantId。
- 后台任务也要带租户上下文。
- 迁移期禁止跨租户误路由。
处理“分库分表如何支持租户隔离？”涉及的任务和写入时，应携带幂等键、数据版本或路由 epoch。超时只代表结果未知，恢复逻辑必须先查状态再决定重试、补偿或回滚。
六、监控与验收
- 监控 跨租户拒绝。
- 监控 租户容量/延迟。
- 监控 热点租户。
- 监控 配额拒绝。
- 监控 迁移校验。
验收“分库分表如何支持租户隔离？”时，既要验证正常数据，也要覆盖热点键、空结果、重复事件、单分片超时、迁移中断和版本回退，且对账差异必须为零或处在明确业务阈值内。
七、常见误区与追问
- 误区：有 tenant_id 字段就完成隔离。 还需强制路由、SQL 注入和鉴权。
- 误区：所有租户独占库最省事。 大量小租户独占库会增加成本。
- 误区：分片等于权限。 分片只隔数据位置，不验证身份。
- 误区：缓存不需租户前缀。 否则会跨租户串缓存。
- 误区：超级管理员查询无需审计。 高权限访问更应审计。
- 追问：一个分片不可用时能否返回其余结果？ 只有业务明确接受部分结果并在响应中标记不完整时才可以，否则应失败而不是伪造全局正确。
八、加强记忆
回答“分库分表如何支持租户隔离？”可按“怎么路由 → 单片做什么 → 跨片如何归并 → 失败如何恢复 → 数据怎样对账”展开。
最终要让面试官听到具体边界：哪些查询保持单片、哪些能力被限制、最坏会扇出多少节点，以及扩容或故障时如何保证数据不重不漏。