AI Agent 工程 · 16
16.1 SaaS：多商家客服服务的租户设计
从 Tenant ID、RBAC、配额与可用性理解 Agent 如何成为企业软件服务。
目标与原则
SaaS（软件即服务）不是把单用户工具放到网页上：它须识别 Tenant ID（租户）、以 RBAC（角色权限）限制操作、隔离订单/知识库/工单，并管理配额、可用性和维护。10 的 merchant filter 是数据隔离基础，14 的授权是访问边界。
登录身份 → tenantId + role → 配额检查 → 租户隔离的数据/工具 → 审计
实践与验收
V5 tenantPlan 只对有 tenantId、agent 角色和正配额的模拟请求返回 isolated。Northwind 与 Contoso 不能互访；没有真实扣款、支付信息或计费数据。成本与定价必须基于实际模型用量和客户访谈，不能从演示推导收入。
主动回忆：为什么“每个表有 merchant_id”还不足以完成 SaaS 安全？
- 必须记：隔离需要身份、查询、工具和日志共同执行。
- 建议记：配额是可靠性与成本保护，不只是计费。
- 不用记：示例角色名。