租户下线与数据删除工作流

概述

租户下线的常见漏洞是只删主库而留下缓存、派生系统与备份中的残留，且无法证明删除范围。先按清单逐系统清除、按策略使备份过期或脱敏，并以证明文件记录确切范围与日期，才能让删除可审计。

关键步骤

1. 以可移植格式为客户端导出数据。
2. 以书面形式确认删除或保留决定。
3. 在主存储、缓存与派生系统中删除租户数据。
4. 按策略使备份过期或脱敏，并出具证明。

验证

• 清单中每个系统报告零残留记录。
• 证明涵盖确切范围与日期。
• 需返回的数据已交付客户。
• 备份不留存超出策略。

决策点

备份应等待保留期过期而非立即重写；删除范围必须覆盖所有持有租户数据的系统，否则删除不完整且无从证明。

适用范围

本条目围绕「租户下线与数据删除工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

await exportTenant(tenantId, { format: 'ndjson' });
for (const system of tenantSystems) {
  await system.purge(tenantId);
}
await attestDeletion(tenantId, { scope: tenantSystems, maxBackupLagDays: 35 });