MVC多租户应用：客户端敏感数据存储安全最佳实践咨询

你的担忧完全合理——Cookie存储在客户端，用户很容易通过浏览器开发者工具篡改内容，直接用Cookie里的CompanyName来路由数据库，确实会导致越权访问其他租户数据的风险。下面是针对这类场景的几个最佳实践，适配你的MVC应用：

1. 把租户标识存到服务端会话，别依赖客户端 #

客户端的任何存储（Cookie、LocalStorage等）都不可信，正确的做法是：

• 用户登录验证通过后，将CompanyName或租户ID与用户身份绑定，存入服务端会话（比如ASP.NET MVC里的Session，如果是分布式部署可以用Redis这类分布式会话存储）。
• 后续每个请求，都从服务端会话中读取租户标识，而不是从客户端Cookie拿。客户端只需要存储一个随机生成的会话ID（比如ASP.NET默认的ASP.NET_SessionId），这个ID难以伪造，且服务端可以随时失效会话。

2. 若必须存客户端，一定要加密/签名 #

如果因为架构原因（比如无状态设计）必须把租户标识存在客户端，务必要对数据进行加密或签名：

• 使用服务端专属密钥对租户标识做HMAC签名，把签名值和原始数据一起存在Cookie里。每次请求时，服务端先验证签名的有效性，只有签名正确才使用该标识。
• 在ASP.NET MVC中，可以利用框架自带的数据保护功能，把租户信息作为用户Claims的一部分，自动加密到认证Cookie中：

  services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
      .AddCookie(options =>
      {
          // 强制HTTPS传输Cookie
          options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
          // 配置数据保护密钥存储位置（生产环境建议用安全的密钥管理服务）
          options.DataProtectionProvider = DataProtectionProvider.Create(new DirectoryInfo(@"C:\secure-keys"));
      });
  
  // 登录时添加租户Claim
  var claims = new List<Claim>
  {
      new Claim(ClaimTypes.Name, username),
      new Claim("TenantName", companyName) // 这个Claim会被加密到Cookie中
  };
  var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
  await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(identity));
  

  这样用户即使篡改Cookie里的内容，服务端验证时也会直接拒绝，无法使用伪造的租户标识。

3. 租户标识与用户身份强绑定 #

登录时，不要单独查询CompanyName，而是要确保当前用户确实属于该租户：

• 先根据用户名找到用户记录，从用户记录中提取所属的租户信息（比如用户表中关联的TenantId或CompanyName），而不是通过其他方式获取。
• 把租户标识作为用户身份的一部分（比如Claims），后续请求直接从ClaimsPrincipal中读取，彻底避免依赖外部不可信的存储。

4. 数据库层加全局防护 #

即使前面的验证都做了，在数据库访问层再加一层防护，能彻底杜绝越权：

• 所有数据库操作自动带上当前租户的过滤条件，确保用户只能访问自己租户的数据。比如在EF Core中使用全局查询过滤器：

  protected override void OnModelCreating(ModelBuilder modelBuilder)
  {
      var currentTenant = HttpContext.User.FindFirstValue("TenantName");
      // 给所有租户实体添加全局过滤
      modelBuilder.Entity<Order>().HasQueryFilter(o => o.CompanyName == currentTenant);
      modelBuilder.Entity<Customer>().HasQueryFilter(c => c.CompanyName == currentTenant);
  }
  

  这样就算租户标识被意外绕过，数据库层面也会自动过滤掉不属于当前租户的数据。

5. 配置Cookie的安全属性 #

如果必须使用Cookie，一定要开启这些安全属性，降低被窃取或篡改的风险：

• HttpOnly：禁止前端JS读取Cookie，减少XSS攻击导致的Cookie泄露。
• Secure：只在HTTPS请求中传输Cookie，避免明文传输被拦截。
• SameSite：设置为Strict或Lax，限制Cookie跨站传输，防范CSRF攻击。
• 合理设置过期时间，避免Cookie长期有效。

核心原则就是：敏感的租户标识绝对不能由客户端决定，必须由服务端控制和验证。优先用服务端会话或加密的认证Cookie，再配合数据库层的过滤，就能最大程度保障多租户数据的安全性。

内容的提问来源于stack exchange，提问作者Halit D