現有SaaS產品增加AI功能，如何做租戶隔離、額度和計費？

一、先分清新增AI功能與重建整個SaaS

以給專案協作平臺增加“專案週報草稿”為設計示例：輸入來自當前客戶有權訪問的專案、工單和會議紀要，輸出是待稽核文稿，不自動對外傳送。首期要確認誰發起、讀取哪些專案、結果儲存多久以及人工如何修改。這裡展示的是設計方法，不是知華客戶案例，也沒有預設客戶使用後的增長或節省比例。

如果現有產品已具備租戶、會員和付款體系，優先檢查其擴充套件點，而不是新增一套互不關聯的AI賬號。產品開關、訪問許可權、套餐權益和呼叫額度是不同概念：看到入口不代表可以讀全部專案，購買套餐也不代表可以以管理員身份執行工具。試點可以人工簽約開通，但仍應記錄權益版本和生效範圍，為以後自動開通保留介面。

二、租戶身份必須沿著整條資料鏈路傳遞

租戶資訊來自已驗證的登入會話或服務端憑據，並檢查使用者在該租戶內的成員關係，不能直接信任瀏覽器傳入的tenant_id。後端查詢、知識檢索、物件儲存訪問和工具執行均限定資源範圍。共享資料庫加租戶欄位、獨立資料庫或獨立部署各有成本與運維取捨，不能僅憑“獨立空間”的介面名稱認定隔離有效。

特別檢查容易遺漏的旁路：快取鍵是否包含租戶與授權範圍，非同步工作程序是否重新確認任務歸屬，歷史回答能否在使用者撤權後繼續讀取，匯出下載地址是否校驗訪問者。快取失效、離職撤權和跨客戶切換應有明確策略。客服或運維代查客戶問題時使用受審計的授權流程，不透過共享超級管理員賬號訪問所有客戶資料。

三、客戶額度與供應商成本應是兩套可對賬記錄

客戶可能按“成功生成一份週報”消耗一個額度，而模型供應商按輸入輸出Token計費。一次週報可能有多次檢索和生成，也可能失敗後重試。客戶賬單、內部模型成本與業務成功數量應分別儲存，再透過任務編號關聯。若按任務收費，就應在產品說明中定義成功、取消、超時、重做與人工修改的計費邊界，不能臨時按模型返回文字決定。

下表只是設計示例：客戶單位為一份生成成功的草稿，稽核與正式傳送不在這個額度定義內。模型實際價格、Token型別、快取及其他收費按所選供應商記錄，本文不提供統一價格。客戶不扣費的失敗任務也可能已經產生上游費用，應計入內部成本，而不是從賬上刪除。財務結算依賴可靠計量事件，不應依賴可能被取樣或清理的普通應用日誌。

窄屏可左右滑動表格檢視全部列。

四、併發請求要先預佔，而不是事後檢查餘額

某客戶只剩一個額度，兩個請求同時讀取到餘額為一，如果先執行再扣減就可能產生兩次模型費用。應以事務或等價原子操作完成權益校驗與額度預佔，再安排執行。任務完成後結算，確認沒有交付時按規則釋放；預佔過期不能直接假設任務停止，必須與佇列和執行狀態協調。每個任務的額度狀態要能審計，異常交給對賬與人工處置。

用量事件至少關聯租戶、使用者、業務任務、事件ID、計量單位、數量、發生時間和計費規則版本。對於訊息重投和支付回撥，記錄已經處理過的事件並驗證來源。第三方計量平臺可能非同步彙總用量，所以頁面展示的實時餘額應由自己的授權與額度邏輯控制，不能等待賬單聚合後才阻止超額。既要限制單請求輸入與輸出，也要限制租戶併發、任務總預算和異常重試。

五、套餐升級、停用與模型故障如何不影響老客戶

套餐升級立即還是下週期生效、剩餘額度是否結轉、管理員降低配額後執行中任務如何處理，都應先寫成產品規則。週期採用哪個時區、月末事件如何歸屬、延遲到達的用量如何補記，也要明確。賬單已關閉後的調整應保留更正記錄，而不是靜默改寫歷史。客戶可以核對自己的任務明細，但不應看到其他租戶或平臺內部敏感資訊。

模型不可用時允許使用者繼續手工撰寫週報，已經存在的專案資料不應因此不可訪問。按租戶或使用者組灰度開放功能，監控呼叫失敗、人工修改、賬單爭議與淨執行成本。停用時撤銷新的執行許可權，處理佇列與預佔額度，並按約定匯出或刪除相關資料；停止一個AI功能不等於刪除客戶原有業務資料，也不等於已撤銷所有歷史分享連結。

六、上線前用兩個租戶與一組賬本做驗收

成本測算應覆蓋一份可交付結果需要的全部嘗試。假設某測試期100次發起中只有80次生成可用草稿，上游總費用為C，單份可用草稿的模型成本是C/80，而不是C/100；再加入複核、檢索、儲存和維護成本。這是公式示例，不是價格或獲利預測，不能把模型呼叫單價直接作為面向客戶的產品定價。

計費爭議處理也需要產品設計。使用者應能看到任務發生時間、使用的額度單位、是否完成以及申訴入口，運營則能夠追蹤後臺原始事件與規則版本。修正錯扣時新增一條有審批依據的調整記錄，保留原事件，避免直接刪除後無法對賬。供應商側的重試成本不應在未說明的情況下悄悄變成客戶的多次業務扣費。

建立測試租戶A與B，各自準備一條可識別但不敏感的專案資料。驗證正常查詢、偽造資源ID、快取命中、非同步執行、歷史會話、下載和支援人員代查；A的任務不能讀取或推斷B的受限資訊。測試還要覆蓋同一使用者加入多個租戶後切換身份。不能只測聊天視窗，也不能把“模型沒有主動說出客戶B”當作許可權測試透過。

再驗證餘額不足、併發搶佔、重複完成事件、上游失敗、人工取消和週期切換。期初額度加當期發放、調整，減去已結算與有效預佔，應能解釋可用額度；客戶賬單與模型費用分別核對差異原因。用量臺賬、開通配置、測試記錄和運維說明應隨原始碼交接。這些工作才是SaaS產品AI改造的實施範圍，不能僅用一個API接入演示代替。

需要估算實施範圍時，可以結合AI SaaS與MVP開發費用區分業務試點、產品工程和後續運營投入。

官方資料與核對範圍

參考資料核對日期：2026-09-13。平臺能力會隨版本、套餐、地區和許可權變化；資料用於說明技術能力，不代表搜尋量、知華客戶成果或原廠合作資質。

• Stripe官方：用量事件、冪等與非同步處理說明