现有SaaS产品增加AI功能，如何做租户隔离、额度和计费？

一、先分清新增AI功能与重建整个SaaS

以给项目协作平台增加“项目周报草稿”为设计示例：输入来自当前客户有权访问的项目、工单和会议纪要，输出是待审核文稿，不自动对外发送。首期要确认谁发起、读取哪些项目、结果保存多久以及人工如何修改。这里展示的是设计方法，不是知华客户案例，也没有预设客户使用后的增长或节省比例。

如果现有产品已具备租户、会员和付款体系，优先检查其扩展点，而不是新增一套互不关联的AI账号。产品开关、访问权限、套餐权益和调用额度是不同概念：看到入口不代表可以读全部项目，购买套餐也不代表可以以管理员身份执行工具。试点可以人工签约开通，但仍应记录权益版本和生效范围，为以后自动开通保留接口。

二、租户身份必须沿着整条数据链路传递

租户信息来自已验证的登录会话或服务端凭据，并检查用户在该租户内的成员关系，不能直接信任浏览器传入的tenant_id。后端查询、知识检索、对象存储访问和工具执行均限定资源范围。共享数据库加租户字段、独立数据库或独立部署各有成本与运维取舍，不能仅凭“独立空间”的界面名称认定隔离有效。

特别检查容易遗漏的旁路：缓存键是否包含租户与授权范围，异步工作进程是否重新确认任务归属，历史回答能否在用户撤权后继续读取，导出下载地址是否校验访问者。缓存失效、离职撤权和跨客户切换应有明确策略。客服或运维代查客户问题时使用受审计的授权流程，不通过共享超级管理员账号访问所有客户资料。

三、客户额度与供应商成本应是两套可对账记录

客户可能按“成功生成一份周报”消耗一个额度，而模型供应商按输入输出Token计费。一次周报可能有多次检索和生成，也可能失败后重试。客户账单、内部模型成本与业务成功数量应分别存储，再通过任务编号关联。若按任务收费，就应在产品说明中定义成功、取消、超时、重做与人工修改的计费边界，不能临时按模型返回文本决定。

下表只是设计示例：客户单位为一份生成成功的草稿，审核与正式发送不在这个额度定义内。模型实际价格、Token类型、缓存及其他收费按所选供应商记录，本文不提供统一价格。客户不扣费的失败任务也可能已经产生上游费用，应计入内部成本，而不是从账上删除。财务结算依赖可靠计量事件，不应依赖可能被采样或清理的普通应用日志。

窄屏可左右滑动表格查看全部列。

四、并发请求要先预占，而不是事后检查余额

某客户只剩一个额度，两个请求同时读取到余额为一，如果先执行再扣减就可能产生两次模型费用。应以事务或等价原子操作完成权益校验与额度预占，再安排执行。任务完成后结算，确认没有交付时按规则释放；预占过期不能直接假设任务停止，必须与队列和执行状态协调。每个任务的额度状态要能审计，异常交给对账与人工处置。

用量事件至少关联租户、用户、业务任务、事件ID、计量单位、数量、发生时间和计费规则版本。对于消息重投和支付回调，记录已经处理过的事件并验证来源。第三方计量平台可能异步汇总用量，所以页面展示的实时余额应由自己的授权与额度逻辑控制，不能等待账单聚合后才阻止超额。既要限制单请求输入与输出，也要限制租户并发、任务总预算和异常重试。

五、套餐升级、停用与模型故障如何不影响老客户

套餐升级立即还是下周期生效、剩余额度是否结转、管理员降低配额后运行中任务如何处理，都应先写成产品规则。周期采用哪个时区、月末事件如何归属、延迟到达的用量如何补记，也要明确。账单已关闭后的调整应保留更正记录，而不是静默改写历史。客户可以核对自己的任务明细，但不应看到其他租户或平台内部敏感信息。

模型不可用时允许用户继续手工撰写周报，已经存在的项目数据不应因此不可访问。按租户或用户组灰度开放功能，监控调用失败、人工修改、账单争议与净运行成本。停用时撤销新的执行权限，处理队列与预占额度，并按约定导出或删除相关数据；停止一个AI功能不等于删除客户原有业务资料，也不等于已撤销所有历史分享链接。

六、上线前用两个租户与一组账本做验收

成本测算应覆盖一份可交付结果需要的全部尝试。假设某测试期100次发起中只有80次生成可用草稿，上游总费用为C，单份可用草稿的模型成本是C/80，而不是C/100；再加入复核、检索、存储和维护成本。这是公式示例，不是价格或获利预测，不能把模型调用单价直接作为面向客户的产品定价。

计费争议处理也需要产品设计。用户应能看到任务发生时间、使用的额度单位、是否完成以及申诉入口，运营则能够追踪后台原始事件与规则版本。修正错扣时新增一条有审批依据的调整记录，保留原事件，避免直接删除后无法对账。供应商侧的重试成本不应在未说明的情况下悄悄变成客户的多次业务扣费。

建立测试租户A与B，各自准备一条可识别但不敏感的项目数据。验证正常查询、伪造资源ID、缓存命中、异步执行、历史会话、下载和支持人员代查；A的任务不能读取或推断B的受限信息。测试还要覆盖同一用户加入多个租户后切换身份。不能只测聊天窗口，也不能把“模型没有主动说出客户B”当作权限测试通过。

再验证余额不足、并发抢占、重复完成事件、上游失败、人工取消和周期切换。期初额度加当期发放、调整，减去已结算与有效预占，应能解释可用额度；客户账单与模型费用分别核对差异原因。用量台账、开通配置、测试记录和运维说明应随源码交接。这些工作才是SaaS产品AI改造的实施范围，不能仅用一个API接入演示代替。

需要估算实施范围时，可以结合AI SaaS与MVP开发费用区分业务试点、产品工程和后续运营投入。

官方资料与核对范围

参考资料核对日期：2026-09-13。平台能力会随版本、套餐、地区和权限变化；资料用于说明技术能力，不代表搜索量、知华客户成果或原厂合作资质。

• Stripe官方：用量事件、幂等与异步处理说明