تواجه المنصات الحكومية متعددة المستأجرين سؤال ثقة لا تواجهه برمجيات الخدمات الخاصة بالكثافة نفسها: المستأجرون بلديات علاقة بياناتهم ببعضها تنافسية رسمياً وحساسة سياسياً وعدائية أحياناً — استراتيجيات تحصيل بلدية وقوائم مدينيها وأنماط إنفاذها هي بالضبط ما لا ينبغي لبلدية أخرى أن تراه أبداً. تجيب معظم المنصات بمجاملة طبقة التطبيق: الواجهة ترشّح حسب بلدية المستخدم، ويتفق الجميع على ألا ينظروا. أنماط الفشل متوقعة — خطأ تقرير، حالة خاصة في تصدير، لوحة مخزنة مؤقتاً — وكل واحد يسرب سجل مستأجر آخر. يجيب الفصل في طبقة التخزين بشكل مختلف: كل نموذج مقسم حسب المحافظة والبلدية في مستوى التخزين نفسه، فسؤال «هل يستطيع المستخدم أ رؤية فواتير البلدية ب» لا تفرضه شيفيرة منضبطة بل حقيقة أن الصفوف تعيش فعلياً في أقسام مختلفة بعزل مستأجرين تفرضه المنصة تلقائياً.

الطبقات الثلاث التي يجب أن تتفق #

  • تقسيم التخزين: صفوف مفصولة لكل بلدية في طبقة التخزين — الضمان المادي.
  • مرشحات آمنة من جهة الخادم: كل قراءة مفلترة على الخادم، لا يمكن للعميل التحايل عليها — المحصلون يرون تكليفاتهم فقط، والمديرون ما يراجعونه.
  • صلاحيات دقيقة بنزع حقول: مجموعات الحقول الحساسة تُزال من جهة الخادم عن الأدوار غير المصرح لها، لا تُخفى في الواجهة.

التمييز الذي يهم المدققين هو أين يعيش الإنفاذ. الترشيح على مستوى الواجهة وعد؛ والترشيح من جهة الخادم آلية؛ والتقسيم على مستوى التخزين حقيقة. عندما تكون كل قراءة مفلترة من جهة الخادم ولا يمكن التحايل عليها، يتقلص سطح الهجوم إلى قواعد التفويض نفسها — وهي قابلة للمراجعة — بدل انضباط التطبيق كله، وهو غير قابل. وتكمل الملفات متعددة المستخدم النموذج: هوية واحدة تحمل ملفات متعددة محددة النطاق بالتطبيق (مسؤول، مسؤول فرعي، مدير/مراجع، محصّل)، لكل منها حزمة دوره ونطاقه الجغرافي ولغته، فالشخص الذي يخدم بلديتين يفعل ذلك عبر ملفين محددين لا حساباً واحداً مفرط الامتياز. والمصادقة المحصّنة — جلسات JWT بقائمة سوداء للرموز، وطلبات جوال موقعة بـ HMAC ضد إعادة التشغيل، ورموز تكامل للوزارات، وOTP وSSO — تلتف حول البنية كلها، وأثر التدقيق الكامل يسجل كل تغيير مهمة فيظل سؤال «من كان يمكنه رؤية هذا» ذا إجابة دقيقة.

للمشتريات، الاختبار بسيط بسخرية في السؤال وصعب في التزييل: «أرني استعلاماً، بصفتي مسؤول البلدية أ، عن فواتير البلدية ب — ليس عبر واجهتك، عبر قاعدة بياناتك». المنصات ذات الفصل بطبقة المجاملة تمد يدها للتفسيرات؛ والمنصات ذات الفصل بطبقة التخزين تعرض مجموعة النتائج الفارغة. ينبغي أن تُقاس معمارية البيانات الحكومية بما لا تستطيع فعله فعلياً، لأن كل شيء آخر صيغة من الطلب بلطف.