Multi-tenancy

Multi-tenancy bukan fitur yang ditambahkan belakangan; ia keputusan yang memengaruhi setiap kueri, setiap kunci cache, dan setiap baris log. Kesalahan paling mahal di sini bukan performa, melainkan kebocoran.

Tiga pola isolasi

Mengambil tenant sekali, di gerbang

func (m *Tenancy) Middleware(next http.Handler) http.Handler {
	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		// Dari subdomain, header, atau klaim di sesi — TIDAK PERNAH dari body.
		t, err := m.dariHost(r.Host)
		if err != nil {
			http.Error(w, "tenant tidak dikenal", http.StatusNotFound)
			return
		}

		// Pengguna yang login harus MEMANG milik tenant ini.
		u := auth.DariContext(r.Context())
		if u.TenantID != t.ID {
			http.Error(w, "tidak berhak", http.StatusForbidden)
			return
		}

		ctx := DenganTenant(r.Context(), t)
		next.ServeHTTP(w, r.WithContext(ctx))
	})
}

Setiap kueri membawa tenant

// Repository mengambil tenant dari context — bukan dari parameter,
// supaya tidak mungkin lupa mengopernya.
func (r *Repo) Ambil(ctx context.Context, id int64) (Produk, error) {
	t := tenancy.DariContext(ctx)
	if t.ID == 0 {
		return Produk{}, ErrTenantTidakAda   // gagal keras, jangan diam
	}

	var p Produk
	err := r.db.QueryRow(ctx, `
		SELECT id, nama, harga FROM produk
		WHERE tenant_id = $1 AND id = $2`, t.ID, id,
	).Scan(&p.ID, &p.Nama, &p.Harga)
	...
}

Jaring pengaman: Row Level Security

ALTER TABLE produk ENABLE ROW LEVEL SECURITY;

CREATE POLICY isolasi_tenant ON produk
  USING (tenant_id = current_setting('app.tenant_id')::bigint);

// Setel di setiap koneksi yang dipinjam dari pool
func (r *Repo) denganTenant(ctx context.Context, f func(pgx.Tx) error) error {
	t := tenancy.DariContext(ctx)

	tx, err := r.db.Begin(ctx)
	if err != nil {
		return err
	}
	defer tx.Rollback(ctx)

	if _, err := tx.Exec(ctx, "SELECT set_config('app.tenant_id', $1, true)",
		strconv.FormatInt(t.ID, 10)); err != nil {
		return err
	}

	if err := f(tx); err != nil {
		return err
	}
	return tx.Commit(ctx)
}

Index dan performa

-- tenant_id SELALU kolom pertama (Fase 4)
CREATE INDEX idx_produk_tenant_kategori ON produk (tenant_id, kategori_id, harga);
CREATE UNIQUE INDEX idx_produk_tenant_slug ON produk (tenant_id, slug);

-- Untuk tenant sangat besar, pertimbangkan partisi
CREATE TABLE produk (...) PARTITION BY LIST (tenant_id);

Yang paling sering bocor

Tes yang wajib ada

func TestIsolasiTenant(t *testing.T) {
	a := buatTenant(t, "a")
	b := buatTenant(t, "b")

	p := buatProduk(t, a, "Rahasia A")

	// Detail: tenant B tidak boleh menemukannya.
	if _, err := repo.Ambil(ctxTenant(b), p.ID); !errors.Is(err, ErrTidakDitemukan) {
		t.Fatal("tenant B bisa membaca produk tenant A")
	}

	// Daftar: yang paling sering terlewat.
	daftar, _ := repo.Daftar(ctxTenant(b))
	for _, x := range daftar {
		if x.TenantID != b.ID {
			t.Fatalf("daftar tenant B memuat data tenant %d", x.TenantID)
		}
	}

	// Tanpa tenant di context: harus GAGAL, bukan mengembalikan semuanya.
	if _, err := repo.Daftar(context.Background()); err == nil {
		t.Fatal("kueri tanpa tenant seharusnya gagal")
	}
}