_{🧠 图解记忆：权限必须在检索阶段强制执行，不能检索后再让模型“不要引用”；点击图片可查看原图。}

💡 答案要点

权限必须在检索阶段强制执行，不能检索后再让模型“不要引用”。

• 从可信身份源获得 tenant、user、group 和 resource scope；
• 文档与 chunk 继承可验证的 ACL，并处理权限变更与删除传播；
• 查询过滤由服务端策略构造，不能信任客户端传入 tenant_id；
• 高隔离要求可使用独立索引/数据库/密钥，低隔离方案也要测试越权边界；
• 缓存键必须包含权限上下文，防止跨用户命中；
• Trace、评测集、导出和运维工具同样执行访问控制；
• 用 canary 文档和跨租户攻击用例持续验证。

具体安全评测参考 安全与评估。

📚 参考：Milvus：多租户权限隔离