在ABP框架中如何与租户共享数据？附多租户数据权限规则

针对你描述的多租户数据权限场景，在ABP框架里可以通过自定义数据过滤器+多租户实体配置+角色权限控制这几个核心点来实现，下面是具体的步骤和代码示例：

先明确你的规则对应的逻辑：

• 账户信息：全局共享，所有租户（包括总部）都能访问
• 分支机构数据：
  • 总部租户：能访问所有分支机构的数据
  • 普通账户用户：能访问所有分支机构的数据
  • 分支机构管理员：仅能访问自己所属分支机构的数据

首先给业务实体加上必要的标识字段，区分租户和分支机构：

账户信息实体（全局共享） #

ABP默认会给实体加上租户隔离的查询过滤器，所以要让所有租户都能访问AccountInfo，需要移除它的租户过滤：

public class AccountInfo : FullAuditedEntity<Guid>
{
    public string AccountName { get; set; }
    public string Email { get; set; }
    // 其他业务字段...
}

在你的DbContext配置里，移除AccountInfo的租户过滤：

protected override void ConfigureExtraProperties()
{
    base.ConfigureExtraProperties();
    
    // 配置AccountInfo不启用租户隔离
    Configure<AbpDbContextOptions>(options =>
    {
        options.UseEfCore().DbContextOptions.ConfigureDbContext = (contextBuilder, sp) =>
        {
            contextBuilder.Entity<AccountInfo>(b =>
            {
                b.HasQueryFilter(null); // 去掉默认的租户过滤规则
            });
        };
    });
}

分支机构数据实体 #

给BranchData加上租户ID和分支机构ID，用于后续过滤：

public class BranchData : FullAuditedEntity<Guid>
{
    public Guid TenantId { get; set; } // 所属租户ID（分支机构对应一个租户）
    public Guid BranchId { get; set; } // 分支机构自身ID（如果租户和分支一一对应，也可以直接用TenantId代替）
    public string BranchName { get; set; }
    // 其他业务字段...
}

ABP的Data Filter是实现数据隔离的核心，我们需要自定义一个过滤器来处理分支机构的权限逻辑：

首先定义过滤器接口：

public interface IBranchDataFilter : ITransientDependency
{
    Guid? AllowedBranchId { get; }
    bool IsEnabled { get; set; }
}

然后实现过滤器，根据当前用户的租户和角色判断允许访问的分支机构：

public class BranchDataFilter : IBranchDataFilter
{
    private readonly ICurrentUser _currentUser;
    private readonly ICurrentTenant _currentTenant;
    
    // 替换成你的总部租户ID常量
    private const string HeadquartersTenantId = "你的总部租户GUID";

    public BranchDataFilter(ICurrentUser currentUser, ICurrentTenant currentTenant)
    {
        _currentUser = currentUser;
        _currentTenant = currentTenant;
    }

    public Guid? AllowedBranchId
    {
        get
        {
            // 总部租户用户：允许访问所有分支
            if (_currentTenant.Id == Guid.Parse(HeadquartersTenantId))
            {
                return null;
            }
            
            // 分支机构管理员：仅允许访问自己的分支（从用户Claim中获取BranchId）
            if (_currentUser.IsInRole("BranchAdmin"))
            {
                var branchIdClaim = _currentUser.FindClaimValue("BranchId");
                return string.IsNullOrEmpty(branchIdClaim) ? null : Guid.Parse(branchIdClaim);
            }
            
            // 普通账户用户：允许访问所有分支
            return null;
        }
    }

    public bool IsEnabled { get; set; } = true;
}

在你的DbContext中注入过滤器，并给BranchData添加组合过滤规则（租户过滤+分支过滤）：

public class YourDbContext : AbpDbContext<YourDbContext>
{
    private readonly IBranchDataFilter _branchDataFilter;

    public DbSet<AccountInfo> AccountInfos { get; set; }
    public DbSet<BranchData> BranchDatas { get; set; }

    public YourDbContext(DbContextOptions<YourDbContext> options, IBranchDataFilter branchDataFilter) 
        : base(options)
    {
        _branchDataFilter = branchDataFilter;
    }

    protected override void CreateModel(ModelBuilder modelBuilder)
    {
        base.CreateModel(modelBuilder);

        // 给BranchData添加组合查询过滤器
        modelBuilder.Entity<BranchData>(b =>
        {
            b.HasQueryFilter(e => 
                // 租户过滤：总部租户能看所有租户的分支，其他租户只能看自己的
                (CurrentTenant.Id == Guid.Parse(HeadquartersTenantId) || e.TenantId == CurrentTenant.Id) &&
                // 分支过滤：过滤器启用时，只允许访问指定分支（null表示不限）
                (!_branchDataFilter.IsEnabled || 
                 _branchDataFilter.AllowedBranchId == null || 
                 e.BranchId == _branchDataFilter.AllowedBranchId));
        });
    }
}

在ABP的权限系统中配置对应的角色，配合数据过滤器实现更严格的控制：

• 创建BranchAdmin角色，仅分配自身分支机构数据的访问权限
• 创建HeadquartersAdmin和NormalUser角色，分配所有分支机构数据的访问权限
• 用户创建/登录时，给BranchAdmin用户添加BranchId的Claim，用于过滤器识别

1. 确保总部租户ID的常量配置正确，避免过滤逻辑出错
2. 测试时要覆盖所有场景：总部用户、普通账户、分支管理员，验证数据访问范围是否符合预期
3. 如果需要临时跳过过滤（比如后台任务），可以通过_branchDataFilter.IsEnabled = false来关闭过滤器

内容的提问来源于stack exchange，提问作者clark wu