第3章：Schema级隔离方案原理——共享数据库、逻辑分隔、资源竞争

3.1 边界定义

Schema级隔离是一种逻辑隔离模式：所有租户共享同一个数据库实例，但每个租户拥有独立的Schema（命名空间）。该方案适用于中小规模SaaS场景，租户数通常在几百到几千级别，对隔离性要求中等，且希望控制基础设施成本。

• 隔离粒度：Schema级别，每个Schema包含各自表、视图、存储过程、序列等数据库对象。
• 共享资源：数据库进程、内存缓冲池、磁盘IO、连接池、主从复制链路。
• 逻辑边界：通过schema_name.table_name的命名空间区分租户数据，SQL查询必须携带租户Schema上下文。
• 租户容量：单个数据库实例支撑500～3000个Schema较为常见，受限于元数据膨胀和连接数。

3.2 分层设计

Schema级隔离架构在应用与基础设施之间共分为四层，各层职责明确：

3.3 组件职责

• 租户上下文管理器（应用层）：在每个请求生命周期内维护当前租户的Schema名称。常见实现包括ThreadLocal（Java）、ContextVar（Python）或中间件注入header。
• 动态Schema路由（中间件/ORM）：拦截SQL执行前将SET search_path TO tenant_x注入会话，或通过ALTER SESSION SET CURRENT_SCHEMA切换。对于ORM框架（如Hibernate、SQLAlchemy），需配置多租户过滤器。
• 连接池：每个物理连接在归还池前必须重置Schema到默认值，防止租户A的连接泄漏给租户B时数据泄露。
• Schema管理服务（运营工具）：负责新租户Schema的自动创建、DDL变更的灰度发布、以及Schema级别的备份/恢复。

3.4 数据流 / 控制流 / 信任链路

以下SVG描述了典型请求从接入到数据返回的完整过程，强调租户上下文传递与Schema切换点。

3.5 选型权衡

3.6 风险点

1. 缓冲池震荡：租户A的查询可能将租户B的热数据挤出缓冲池。建议使用pg_buffercache或缓存预热脚本监测Schema级别的命中率。
2. DDL锁竞争：对一个Schema内的表执行DDL（如ADD COLUMN），可能短暂持有排他锁，阻塞同实例其他Schema的查询。建议DDL操作安排在维护窗口，或使用pt-online-schema-change。
3. 元数据膨胀：每个Schema独立的表、索引、约束都会在系统表（如pg_class、information_schema.tables）中增加记录，当Schema数量超过2000时，系统表查询（如\dt）可能变慢。定期清理孤儿对象，并考虑分区系统表。
4. 连接数暴增：若应用层为每个租户维护独立连接池，总连接数 = 租户数 × 池大小。应统一使用单连接池 + schema切换模式，避免连接耗尽。

3.7 落地步骤

1. Schema模板化：定义标准DDL脚本，包含基础表、索引、默认权限。使用迁移工具（Flyway / Liquibase）对每个新Schema执行。
2. 租户路由配置：在应用配置文件中维护tenants.yaml映射表，格式如下：

   tenants:
     - id: acme_corp
       schema: tenant_acme
       db_host: pg-01.internal
       db_port: 5432
     - id: globex_inc
       schema: tenant_globex
       db_host: pg-01.internal
       db_port: 5432

3. 中间件层部署：安装PgBouncer或ProxySQL，配置auth_query实现Schema动态路由。示例PgBouncer配置片段：

   [databases]
   * = host=pg-primary port=5432 auth_user=router
   
   [pgbouncer]
   pool_mode = transaction
   max_db_connections = 50
   default_pool_size = 10
   server_reset_query = RESET ALL; SET search_path TO public

4. 应用层代码改造：使用ORM多租户过滤器。以SQLAlchemy为例：

   class TenantSessionFactory:
       def __init__(self, engine):
           self.engine = engine
           self.session_factory = sessionmaker(bind=engine)
   
       def get_session(self, tenant_schema: str):
           session = self.session_factory()
           session.execute(f"SET search_path TO {tenant_schema}")
           return session

5. 监控与告警：部署Prometheus + postgres_exporter，采集以下指标：
   • pg_stat_activity 按Schema分组的活动连接数
   • pg_stat_database 每个数据库的blks_hit/read缓存命中率
   • pg_stat_user_tables 每个Schema的表尺寸和死元组比例
6. 灰度迁移：先选择5个非关键租户作为试点，运行至少2周观察资源竞争曲线，再逐步扩展到全部租户。

3.8 验收标准