Hibernate Reactive是否提供异步SQL检查方法以实现行级多租户？

核心结论 #

Hibernate Reactive 目前未提供返回Mono<String>的异步SQL检查扩展方法，但可通过以下两种方案实现行级多租户需求：

方案1：基于Hibernate Reactive上下文传递与SQL AST定制 #

1. Reactor上下文传递租户信息
   在请求处理链路中，将认证后的租户ID存入Reactor Context（替代阻塞式的SecurityContextHolder）：

   // 示例：在WebFilter中设置上下文
   return exchange ->
       Mono.just(exchange)
           .flatMap(request -> /* 从认证信息中提取租户ID */)
           .flatMap(tenantId -> chain.filter(exchange)
               .contextWrite(ctx -> ctx.put("tenantId", tenantId))
           );
   

2. 定制SQL生成逻辑
   不依赖StatementInspector，而是通过定制SqlAstTranslator在SQL AST转换为字符串阶段注入租户过滤条件：

   public class TenantAwareSqlAstTranslator<T extends JdbcOperation> extends SqlAstTranslator<T> {
       private final String tenantId;
   
       public TenantAwareSqlAstTranslator(SessionFactoryImplementor sessionFactory, T jdbcOperation, String tenantId) {
           super(sessionFactory, jdbcOperation);
           this.tenantId = tenantId;
       }
   
       @Override
       protected void renderWhereClause(SqlAstNode whereClause) {
           // 安全拼接租户过滤条件（使用参数绑定避免SQL注入）
           JdbcParameter tenantParam = new JdbcParameter(tenantId);
           SqlAstNode finalWhere = whereClause == null ? tenantParam : new JdbcConjunction(whereClause, tenantParam);
           super.renderWhereClause(finalWhere);
       }
   }
   

   最后通过SessionFactoryBuilder注册该自定义转换器，确保生成的SQL自动携带租户条件。

方案2：结合Spring生态的R2DBC拦截器 #

如果应用基于Spring Data R2DBC + Hibernate Reactive，可通过Spring的StatementInterceptor实现异步SQL修改：

public class TenantStatementInterceptor implements StatementInterceptor {
    @Override
    public Publisher<PreparedStatement> beforeExecute(Connection connection, String sql, StatementOptions options) {
        return Mono.deferContextual(ctx -> {
            String tenantId = ctx.get("tenantId");
            // 使用参数绑定方式修改SQL，避免注入风险
            String modifiedSql = sql + " WHERE tenant_id = ?";
            PreparedStatement stmt = connection.prepareStatement(modifiedSql);
            stmt.setString(1, tenantId);
            return Mono.just(stmt);
        });
    }
}

将该拦截器注册到Spring R2DBC配置中，即可在SQL执行前异步注入租户条件。

关键注意事项 #

• 严禁直接拼接租户ID到SQL字符串，必须使用参数绑定方式避免SQL注入风险；
• 确保租户ID在Reactor Context中正确传递，Hibernate Reactive的操作会继承当前流的上下文，需在调用Hibernate方法前完成上下文设置。

内容的提问来源于stack exchange，提问作者SGiux