用途：面向需要严格隔离的多租户 SaaS 平台，降低跨租户数据暴露风险，在数据库、缓存、API 和可观测性等所有数据路径上强制租户隔离。
主要能力：按层级选择隔离模型（行级、schema 级、数据库级）；在每条数据路径中强制携带租户上下文；为跨租户访问添加自动化测试；审计日志包含租户标识；规划不同隔离模型之间的迁移。
必要检查：用负向测试证明隔离有效；租户上下文不可被客户端伪造；运维工具遵守租户边界；每个数据存储的隔离模型有文档记录。
决策框架：实现前优先明确契约与兼容规则；依赖风险高时，每条调用路径需有超时、重试与降级策略；使用异步消息时需具备幂等、重放与死信处理；流量波动大时，上线前需完成负载、故障转移与扩缩容验证。
常见误区：认为重试会自动处理失败（无界重试会放大故障，应设预算）；认为可暂缓编写运行手册（运维模糊会拖慢故障恢复）；认为契约变更很小（小的破坏性变更会引发下游大范围回归）。
证据包：契约兼容性说明与迁移策略（如适用）；依赖降级与恢复的故障模式测试证据；可观测性快照（延迟、错误、饱和度或队列健康）；带明确触发阈值的发布与回滚步骤。
退出标准：工作流经证据验证达到生产就绪；运维与安全护栏到位；发布与回滚预期有文档记录。
限制：资料未提供具体代码示例、安装命令、支持平台或收费信息。