多租户管理

默认 single 模式只使用默认租户。hosted 模式在同一部署中管理多个业务租户，账号、角色与业务记录按租户归属。启用前先确认当前版本与所需模块的支持范围。

部署前提

配置	用途
TENANT_MODE=hosted	启用多业务租户模式
TENANT_HOSTED_LOGIN_ENABLED=true	打开业务租户登录与运行门控
RELEASE_BUILD_SHA	生产 hosted 必须填写后端构建的完整 40 位 Git SHA
TENANT_HOST_SUFFIX	可选，通过租户子域名定位；为空时可使用租户代码

配置必须实际进入 API 与相关服务进程；Compose 中 env_file 与 environment 的覆盖关系见配置项归属。修改后重新部署并核对启动日志，不能只改变登录页。

子域名模式还需要 DNS、证书与代理保留正确 Host。普通账号只能登录所属租户；系统管理员入口使用默认租户。

开通步骤

1. 默认租户中拥有启用 R_SUPER 角色的系统管理员登录，进入租户管理。用户名 admin 本身不授予权限。
2. 创建租户名称与代码；代码为 2–32 位规范化小写字母、数字或连字符，default 保留。此时仅有不可登录的准备记录。
3. 执行初始化，设置租户管理员密码并选择可用的默认模型。准备可用 Provider / 模型后再执行；初始化会建立管理员、基础角色、菜单、设置及 AI 绑定。
4. 初始化成功后激活租户。用新租户账号通过代码或对应域名登录，再建立普通业务角色验证功能。

管理员密码只通过受控渠道交付。模型和额度管理见 AI 配置与运维。新租户不从默认租户可编辑菜单或设置复制授权；后续修改默认租户也不会自动覆盖业务租户。

接口接入与重试

管理页面已封装操作。需要接入自动化时，对照目标版本 OpenAPI 和 src/service/api/tenant.ts：

操作	接口
列表 / 创建	GET / POST /platform/tenants
初始化	POST /platform/tenants/{tenantId}/bootstrap
激活	POST /platform/tenants/{tenantId}/activate
停用	POST /platform/tenants/{tenantId}/disable

这些租户管理接口使用默认租户系统管理员的正常登录会话，并携带原因、工单和关联 ID 留存审计；不能仅看到 platform 前缀就改用另一套凭据。其他平台维护接口按各自身份依赖处理。

创建和初始化分别使用稳定的 Idempotency-Key。同一步失败后以原请求和原 key 重试；请求内容改变时先确认上一步状态，避免重复开通。

停用和恢复访问

停用保留业务数据，重新激活不重置账号密码或角色。旧 token 不会因重新激活恢复有效，应重新登录。关闭全局 hosted 登录开关会拒绝业务租户运行，默认租户仍可维护。

验证与当前限制

用不同租户的普通账号验证列表、总数、详情、写入和文件访问。另检查停用后旧会话被拒绝、重新启用后需重新登录，以及新租户权限没有超出预期。

当前不开放 hosted Marketplace / Lowcode、跨租户成员关系、在线租户切换、BYOK 或 PostgreSQL RLS 隔离。应用层隔离需要每个业务模块持续接入，见数据范围。主应用未注册的市场路由不能按历史插件设计视为已上线能力。