欧美市区综合运营商搭建「出海外卖平台」时技术评审常卡在数据归属业务库、日志、备份是否在客户可审计的部署域内。下文用部署域模型、租户隔离配置与备份策略片段说明海外版外卖私有化交付如何落地并与多租户 SaaS 形态做客观对照。示例为教学示意与 D4 中台采购文结构不同侧重数据域而非模块菜单。部署域模型Deployment DomainCustomer-VPC (eu-west-1) ├── k8s-namespace: o2o-prod │ ├── gateway │ ├── waimai-order-service │ ├── waimai-merchant-service │ └── admin-api ├── RDS: o2o_biz (PRIMARY) ├── Redis: session/cache ├── OSS/S3: static export └── LogStack: audit payment-callback核心原则订单、用户 PII、商家资料 PRIMARY 库位于Customer-VPC供应商远程运维仅通过堡垒机 临时凭证不持有长期超管。租户与数据范围表示意CREATETABLEtenant_data_domain(tenant_idBIGINTPRIMARYKEY,region_codeVARCHAR(16)NOTNULLCOMMENTEU-US-...,db_cluster_idVARCHAR(64)NOTNULL,backup_policyVARCHAR(32)NOTNULLCOMMENTDAILY|HOURLY,data_ownerVARCHAR(128)NOTNULLCOMMENTcustomer legal entity);CREATETABLEstation_data_scope(station_idBIGINTPRIMARYKEY,tenant_idBIGINTNOTNULL,city_codeVARCHAR(32)NOTNULL,row_policyVARCHAR(32)NOTNULLCOMMENTSTATION_ONLY);station_data_scope用于欧美多城分站API 层强制city_code过滤避免分站越权读全租户数据。应用层租户隔离配置示意# application-prod.yml (示意)tenant:isolation:mode:SCHEMA_PER_TENANT# 或 DATABASE_PER_TENANT以交付为准enforce-station-scope:truedata:residency:primary-region:eu-west-1backup-region:eu-central-1audit:export:allow-customer-role:truemask-fields:[]# 由客户合规策略配置enforce-station-scope: true应在网关与服务层双重校验不能仅依赖前端隐藏菜单。备份与导出接口示意# POST /api/export/jobs 客户内网 admin 域示意curl-XPOST$ADMIN_INTERNAL/api/export/jobs\-HAuthorization: Bearer$CUSTOMER_OPS_TOKEN\-d{type:ORDER,from:2026-08-01,to:2026-08-07,format:CSV}验收点导出文件是否落在客户 OSS/S3供应商无默认永久读取密钥。与 SaaS 多租户形态对照维度SaaS 多租户私有化部署域主库位置供应商统一集群客户 VPC备份主导供应商策略客户策略可配置源码审计通常不可可约定交付范围分站隔离逻辑租户行级策略 网络域「数据不归自己」的风险集中在左列海外版外卖中等预算项目应优先验右列附件项。支付回调与日志归属PaymentGateway - customer-gateway - order-service - audit_log (customer LogStack)回调验签在客户域完成原始报文写入客户可检索索引。禁止把 PII 日志默认同步到供应商公有集群。联调验收清单tenant_data_domain与合同区域一致分站账号读取邻城订单应 403客户 OPS 角色可发起导出且文件落客户 bucket备份恢复演练记录在附件供应商临时运维凭证有过期时间多语言配置变更写入 audit_logPII 字段分级与掩码示意pii-policy:phone:MASK_EXPORTemail:MASK_EXPORTaddress_line:FULL_IN_DOMAINorder_amount:FULL_IN_DOMAINMASK_EXPORT表示导出给第三方分析时必须掩码域内 OPS 全量可读。欧美场景应在附件明确各级别字段清单。多城分站 Row-Level Security示意CREATEPOLICY station_read_ordersONwaimai_orderFORSELECTUSING(city_codecurrent_setting(app.current_city_code)ORcurrent_setting(app.role)TENANT_ADMIN);应用层与数据库层应双重校验仅前端隐藏菜单不够。灾难恢复 RTO/RPO 写入附件建议附件列RPO可接受数据丢失窗口、RTO恢复时长目标、最近一次恢复演练日期。中等预算项目至少完成一次从备份恢复到独立实例的演练。密钥与运维凭证轮换示意# 客户侧供应商临时运维凭证示意vaultwriteauth/approle/role/vendor-opstoken_ttl4htoken_max_ttl4h# 到期自动失效禁止长期 AK/SK 写在应用配置里附件应列运维入口堡垒机/VPN、凭证 TTL、谁可申请、审计存放位置。订单导出 Job 状态机QUEUED - RUNNING - STORED - (DOWNLOADED) \- FAILED (retryable)FAILED 重试次数与告警接收人应在客户域配置导出文件 URL 仅内网或 signed URL 可访问。waimai_order 分区策略示意-- 按 tenant_id 月分区便于欧美多城归档CREATETABLEwaimai_order_202608PARTITIONOFwaimai_orderFORVALUESFROM(2026-08-01)TO(2026-09-01);分区策略影响备份窗口与导出性能首期附件应列保留周期。合规材料包工程向/docs/compliance/ deployment-domain-diagram.pdf backup-restore-drill-20260814.log station-403-testcases.json pii-policy.yaml欧美市区综合运营商对外说明数据归属时以上四类文件应随首期交付齐套而不是上线后补。纯技术小结「出海外卖平台」在欧美场景应先验部署域与数据归属再验多语言与支付。光合同城海外版外卖按成品 私有化源码交付理解中台与业务模块共享底座客户侧掌控 PRIMARY 业务数据。中等预算下用域模型与租户表把边界写进附件比争论功能多寡更接近合规与扩张需求。