---
feature_id: FEAT-202606-005-saas-tenant-isolation
title: AI 中台 SaaS 租户隔离改造
status: reviewing
owner: 医梦研发团队
created_at: 2026-06-27
updated_at: 2026-06-27
tags:
  - SaaS
  - 多租户
  - 租户隔离
  - 下游交接
---

# AI 中台 SaaS 租户隔离改造

## 目标

记录 `codex/saas-phase1-refactor` 分支已经完成的租户隔离改造、可能需要执行的
数据库 SQL、已知边界和下游启动联调步骤。

本文档组用于帮助下游研发或 AI Coding 工具快速恢复上下文，不代表数据库迁移、
工程启动、前端适配和真实多医院联调已经完成。

## 版本基线

| 项目 | 值 |
|---|---|
| 基线分支 | `master` |
| 基线提交 | `074c4db4` |
| SaaS 分支 | `codex/saas-phase1-refactor` |
| 初始交接文档提交 | `1875c356` |
| 代码改造时间 | 2026-06-26 至 2026-06-27 |
| 第二阶段续作时间 | 2026-06-27 |

## 文档索引

| 类型 | 文档 | 状态 | 用途 |
|---|---|---|---|
| 需求录入 | [需求录入.md](需求录入.md) | approved | 记录目标、边界和交付方式 |
| 详细设计 | [HIS多医院路由详细设计.md](HIS多医院路由详细设计.md) | reviewing | P0 多医院 HIS 路由、Provider SPI 和安全约束 |
| 实施计划 | [HIS多医院路由实施计划.md](HIS多医院路由实施计划.md) | implemented | P0 多医院 HIS 路由 TDD 实施步骤 |
| 开发进度 | [SaaS化代码改造与下游交接说明.md](SaaS化代码改造与下游交接说明.md) | reviewing | 代码改动、验证结果、遗留项和联调步骤 |
| Runbook | [SaaS化数据库候选变更与执行清单.md](SaaS化数据库候选变更与执行清单.md) | reviewing | 数据库盘点、候选 SQL、执行顺序和校验 |
| 测试结果 | [db-execution/2026-07-01-目标环境数据库执行与启动验证记录.md](db-execution/2026-07-01-目标环境数据库执行与启动验证记录.md) | reviewing | 目标环境数据库执行记录、编译/架构测试证据和启动验证进展 |

## 关联代码模块

- `emoon-openplatform`
- `emoon-system-api`
- `emoon-system`
- `emoon-ai-agent-api`
- `emoon-ai-agent`
- `emoon-ai-card-api`
- `emoon-ai-card`
- `emoon-ai-device`
- `emoon-ai-file`
- `emoon-ai-mcp-api`
- `emoon-ai-mcp`

## 当前状态

代码侧第一阶段租户上下文传递、主要查询隔离，以及第二阶段的任务写作用域、
卡片动作幂等租户化和 HIS 三元动态路由已经完成。

尚未完成：

- 目标环境数据库盘点和 SQL 执行
- 真实租户、项目、医院基础数据初始化
- 后端完整启动验证
- 前端工程适配和接口联调
- 两家医院以上的交叉租户越权测试
- 真实 HIS/LIS 厂商 Provider、专线和凭据配置
- 两家医院以上的 HIS 严格路由联调
- 内存态组件的多实例持久化改造

因此当前状态为 `reviewing`，不能标记为已上线或生产可用。

## 流程裁剪

本专题是对已经发生的代码改造进行补录，不追溯性制造未经评审的完整 PRD 和设计。

| 阶段 | 是否跳过 | 原因 | 风险 | 替代记录 |
|---|---|---|---|---|
| 需求文档 | 是 | 改造已在文档生命周期建立前完成 | 验收口径不够完整 | `需求录入.md` 与交接说明 |
| 概要设计 | 是 | 本阶段未改变既有模块边界 | 缺少正式架构评审记录 | 既有平台概要设计与交接说明 |
| 详细设计 | 否 | P0 HIS 多医院路由涉及配置、鉴权上下文和安全边界 | 已通过专题详细设计补齐 | `HIS多医院路由详细设计.md` |
| 接口说明 | 是 | 未新增对外 URL，主要增加内部作用域参数和可选上下文头 | 下游可能忽略鉴权语义变化 | 交接说明中的接口影响章节 |
| 测试计划 | 是 | 代码改造期间按模块补充回归测试 | 未覆盖真实数据库和多医院联调 | 交接说明中的验收清单 |
| 测试结果 | 是 | 当前只有开发环境自动化验证记录 | 不能据此判断可上线 | 交接说明中的已执行验证 |