使用Hibernate会话setProperty传递TenantId至MS SQL实现RLS是否正确？

我在基于Java的应用里想用MS SQL的行级安全（RLS），已经创建了带函数的安全策略，这个策略依赖会话上下文中的tenantId来过滤数据，直接用SQL测试策略是有效的，但现在没法把tenantId传到数据库，导致RLS过滤后返回零结果（应该是数据库没收到会话上下文里的tenantId）。tenantId会根据认证用户动态变化，我现在用这段代码设置：

sessionFactory.getCurrentSession().setProperty("TenantId", tenantId);

调试时能看到tenantId在Java应用里已经正确设置，但调用这个方法后没生效，想知道通过会话调用setProperty是不是把上下文/会话属性传递到数据库的正确方式？

首先明确：session.setProperty()是Hibernate会话自身的属性存储方法，它只会把数据存在Java应用层面的Hibernate会话里，不会自动同步到MS SQL的数据库会话上下文，所以你用这个方法传tenantId完全没用。

要把tenantId传到MS SQL的会话上下文，推荐以下几种可行方式：

方式1：直接执行MS SQL会话上下文设置语句 #

MS SQL支持用sp_set_session_context存储会话级别的上下文变量，你可以在每次获取数据库连接后、执行业务SQL前，执行这个存储过程：

Session session = sessionFactory.getCurrentSession();
// 获取JDBC连接并执行存储过程
session.doWork(conn -> {
    try (CallableStatement stmt = conn.prepareCall("{call sp_set_session_context(N'TenantId', ?)}")) {
        stmt.setString(1, tenantId);
        stmt.execute();
    }
});

如果想统一处理，可以把这个逻辑放到Hibernate的连接拦截器里，不用每个业务方法重复编写。

方式2：使用Hibernate事件监听器 #

实现Hibernate的PreStatementExecuteListener，在每次SQL执行前自动注入会话上下文设置逻辑：

public class TenantSessionContextListener implements PreStatementExecuteListener {
    private final String tenantId;

    public TenantSessionContextListener(String tenantId) {
        this.tenantId = tenantId;
    }

    @Override
    public void onPreStatementExecute(PreStatementExecuteEvent event) {
        try (Connection conn = event.getSession().doReturningWork(c -> c);
             CallableStatement stmt = conn.prepareCall("{call sp_set_session_context(N'TenantId', ?)}")) {
            stmt.setString(1, tenantId);
            stmt.execute();
        } catch (SQLException e) {
            throw new RuntimeException("设置租户会话上下文失败", e);
        }
    }
}

然后在会话创建时绑定监听器：

Session session = sessionFactory.withOptions()
    .eventListener(EventType.PRE_STATEMENT_EXECUTE, new TenantSessionContextListener(tenantId))
    .openSession();

方式3：Spring环境下用AOP统一处理 #

如果你的应用基于Spring，可以通过AOP切面，在所有DAO层方法执行前自动执行会话上下文设置语句，避免代码重复：

@Aspect
@Component
public class TenantContextAspect {
    @Autowired
    private SessionFactory sessionFactory;

    @Before("execution(* com.yourpackage.dao.*.*(..))")
    public void setTenantContext() {
        String tenantId = // 从当前认证上下文获取tenantId
        Session session = sessionFactory.getCurrentSession();
        session.doWork(conn -> {
            try (CallableStatement stmt = conn.prepareCall("{call sp_set_session_context(N'TenantId', ?)}")) {
                stmt.setString(1, tenantId);
                stmt.execute();
            }
        });
    }
}

内容的提问来源于stack exchange，提问作者i89