多租户应用中API key是否可唯一标识对应的租户身份？

绝大多数情况下，是，但根据不同SaaS厂商的权限设计，也存在更细分的差异，核心逻辑如下：

• 基础场景下，API key直接和租户ID绑定：服务端收到请求后第一步就是解析请求头的API key，匹配到对应的租户ID，后续所有数据查询、操作都会带上这个租户ID做过滤，避免跨租户数据泄露，这也是目前大部分SaaS厂商的通用做法。

  举个常见示例：你在某SaaS CRM后台申请的API key，后台会直接关联你所属的租户ID，你发起客户列表查询请求时，服务端只会返回你租户下的客户数据，不会拿到其他租户的内容。

• 部分精细化权限设计的SaaS，API key除了绑定租户，还会绑定具体的操作权限、接口调用范围：比如有的API key只允许读取订单数据，不允许修改，有的只能调用数据分析类接口，不能调用用户管理类接口，但哪怕是这种场景，租户身份标识依然是API key的核心作用之一。
• 极少数特殊场景下，API key仅做身份校验，租户ID需要单独在请求参数里传递：这种设计一般出现在支持跨租户管理的超管账号场景，普通租户的API调用基本不会用到这种模式。

另外还有两个常见的注意点：

• 不要把API key和用户级的身份凭证搞混：很多SaaS的API key是租户级的，一个租户下可以生成多个API key，都归属同一个租户，不需要和具体的后台用户绑定。
• 请求过程中不要把API key放在URL参数里传递，尽量放在Authorization请求头中，避免被日志、代理服务器意外记录导致泄露。

内容的提问来源于stack exchange，提问作者FortuneSix