数据隔离架构声明
多租户白标的根基：所有 V109 新表强制携带 tenant_id，同行数据物理同库、逻辑强隔离。
铁律 1：每张新表必带 tenant_id
V109 起所有新建 uc_* 表必须包含 tenant_id TEXT NOT NULL DEFAULT 'aifeng'。缺该列的表不得合入。本模块 uc_tenant_v109 / uc_tenant_cfg_v109 已带头执行。
铁律 2：查询必带租户过滤
所有读写在 SQL 层带 WHERE tenant_id = %(tenant)s（或项目键过滤），禁止跨租户全表扫描；代码评审与验收脚本均检查此约束。
铁律 3：种子与灌库幂等
所有种子数据以 data_origin 标注来源，INSERT ... ON CONFLICT 幂等；重复执行不重复建行、不覆盖人工修改的状态字段。
铁律 4：旧数据不动
绝不删改 v32/v33/v34 等旧表旧数据；新功能一律新建 uc_*_v109 版本化表，回滚 = 停用路由 + 保留表。
本模块已建表
| Table | tenant_id | data_origin |
|---|---|---|
uc_tenant_v109 | TEXT NOT NULL DEFAULT 'aifeng' | v109_tenant_seed |
uc_tenant_cfg_v109 | TEXT NOT NULL DEFAULT 'aifeng' | v109_tenant_seed |
同行复制时的隔离承诺
每个同行客户 = 一个 project（tenant_id/project_key）。其客户、会话、订单等数据行全部挂在各自 tenant_id 下；删除同行项目只删其 tenant_id 行，绝不影响其他租户。生产级行级安全（RLS）策略列为后续 Human-Gate 项。
⚠ Human-Gate：套餐变更、支付开通、域名绑定、对象存储接通、生产库行级安全策略，均需老板在场逐条批准。