AI/BI仪表板多租户权限隔离实践指南

引言

在企业级AI/BI应用中，嵌入式仪表板已成为标配功能。技术实现上，将Dashboard嵌入到应用中并不困难，但真正的挑战在于：如何确保每个查看者只能看到他们被授权访问的数据？这个问题在多租户场景下尤为突出——既要服务外部合作伙伴，又要支持内部不同团队，还要避免为每个客户或团队维护独立的仪表板副本。

本文将详细阐述如何通过精细化的权限控制机制，用单一仪表板安全地服务所有用户群体。这套方案的核心在于将访问控制逻辑与数据展示层解耦，通过多层安全机制实现真正的数据隔离。

核心架构：集中式权限管理

该方案的基础是建立一个集中式的权限表（Centralized Entitlements Table）。与传统的在应用层硬编码权限规则不同，这种设计将所有用户的数据访问权限以结构化方式存储在数据库中。这样做的好处显而易见：权限变更无需修改代码或重新部署仪表板，只需更新权限表即可立即生效。

权限表通常包含用户标识、可访问的数据范围（如特定客户ID、部门代码等）以及访问级别等字段。当用户请求查看仪表板时，系统首先查询该表，动态构建该用户的数据过滤条件，确保查询结果严格限定在授权范围内。

外部用户隔离：__aibi_external_value机制

针对外部合作伙伴或客户，该方案引入了一个关键的技术特性：__aibi_external_value参数。这是一个在查询执行时动态注入的上下文变量，用于标识当前查看者的身份或所属组织。

具体实现中，当外部用户A登录并访问仪表板时，系统会将__aibi_external_value设置为用户A的客户ID。Dashboard的底层查询会自动引用这个变量，例如：WHERE customer_id = __aibi_external_value。这样，即使所有外部用户看到的是同一个仪表板界面，底层数据查询已经自动完成了租户隔离。

这种方法的优势在于：

• 单一数据源：所有客户的数据存储在同一数据库中，简化了数据管理
• 零维护成本：新增客户无需创建新的仪表板，只需在权限表中添加记录
• 动态范围控制：可以灵活调整每个客户能看到的数据范围

内部团队访问：基于组的权限模型

对于内部用户，该方案采用了基于组（Group-based Access）的权限模型。这更符合企业内部的组织架构特点——销售团队、财务部门、高管层等不同角色需要看到不同维度和粒度的数据。

内部用户通过所属的用户组来继承数据访问权限。例如，销售团队组可能被授权查看所有客户的销售数据，但财务组只能看到财务相关指标。通过在权限表中维护组到数据范围的映射关系，系统能够在用户登录时自动应用相应的过滤规则。

这种设计还支持用户同时属于多个组的场景，系统会合并多个组的权限，取并集作为最终的访问范围。

深度防御：行级安全与列屏蔽

除了查询层面的过滤，该方案还实施了数据库层面的安全措施：

行级安全（Row-Level Security, RLS）：直接在数据库中定义安全策略，即使有人绕过应用层直接执行SQL查询，也会受到RLS策略的约束。数据库会自动在每个查询后追加WHERE条件，确保用户只能读取到被授权的数据行。

列屏蔽（Column Masking）：对于敏感字段（如个人身份信息、财务细节等），可以根据用户角色动态决定是显示原始值、脱敏值还是完全隐藏。例如，一线员工看到的客户手机号可能是138****5678的形式，而客户经理则能看到完整号码。

默认拒绝原则

安全架构中最关键的原则是"默认拒绝"（Default-Deny）。该方案确保：

• 如果权限表中没有明确授权，用户将看不到任何数据
• 新增的数据表或字段，默认情况下对所有用户不可见，直到显式配置访问规则
• 即使配置错误，系统也会倾向于"过度保护"而非"过度开放"

这种设计哲学大大降低了数据泄露的风险。

防止SQL直连绕过

一个容易被忽视的安全漏洞是：技术用户可能通过数据库客户端直接连接数据库，绕过应用层的所有权限检查。该方案特别强调了针对这种场景的防护措施。

通过在数据库层实施RLS和视图层安全策略，即使用户拥有数据库连接凭证，他们的查询也会受到与仪表板相同的权限约束。数据库会自动识别当前连接的用户身份，应用相应的安全策略，确保没有权限漏洞。

实践价值与应用场景

这套方案特别适合以下场景：

1. SaaS平台：需要为数百或数千个客户提供独立的数据视图，但又不想维护数千份仪表板
2. 合作伙伴门户：让渠道商、供应商能够实时查看与自己相关的业务数据
3. 企业内部分析：支持不同部门、不同层级的员工基于相同的BI工具进行数据分析，但严格控制数据访问边界

相比传统的为每个租户复制仪表板的做法，这种单一面板+动态权限的架构能够显著降低维护成本，提升权限管理的灵活性，同时保证数据安全性不打折扣。

总结

在AI/BI时代，数据洞察的民主化与数据安全并非矛盾的目标。通过集中式权限管理、动态上下文注入、多层安全防护和默认拒绝原则的综合运用，企业可以在一个统一的仪表板上安全地服务所有用户群体。这不仅简化了技术架构，也让权限管理变得更加透明和可控。对于正在构建多租户BI系统的团队来说，这套实践方案值得深入研究和借鉴。