[spec] Remove tenancy.strategy + tenancy.crossTenantAccess at the next major — no requirement (owner decision) #2763

Owner 决策(2026-07-10)

对象级 tenancy 隔离策略没有需求。平台的多租户模型只有两种,且都不需要对象级配置:

1. 每租户独立数据库 —— 部署/环境级(EnvironmentKernelFactory,每环境自带 database_url),零开发、零对象级配置;
2. 共享数据库 + 组织行级隔离 —— organization_id 注入 + RLS 谓词,机制旋钮是 tenancy.enabled(对象级 org-scope 豁免)与 tenancy.tenantField。

因此 TenancyConfigSchema 里两个零消费者字段按 enforce-or-remove 处置为 REMOVE:

先例:ADR-0056 D8 —— "compliance-grade config must never merely look live",安全形状的假配置整块移除。

移除 PR 清单(major 窗口开时)

• TenancyConfigSchema 删 strategy/crossTenantAccess;补 no-silent-strip 防呆(Object-level workflows: [...] (and any unknown ObjectSchema key) is silently stripped at build — no error/warning (ADR-0032 'no silent failure', metadata layer) #1535):嵌套键删除后不能被 zod 静默 strip,需在 tenancy 块上加 unknown-key 拒绝或 superRefine tombstone,报错信息指向两种真实模式("库隔离=环境级部署;行级隔离=enabled+tenantField")
• liveness ledger 删除两条目;README 计数表再生
• gen:docs 再生 references(当前文档仍宣传 'isolated (separate DB per tenant)')
• 落地前 grep 下游(HotCRM/tianshun/examples)确认无 authored 使用
• changeset major

过渡期

编译期 authorWarn 已上线(#2750):作者设这两个字段会收到告警+指向真实机制的 hint。无紧迫性,等 major 窗口。

相关但独立:对象 ledger 剩余 dead 主体(versioning/partitioning/cdc aspirational 块)同教义,另行决策。

来源:#2707/#2727/#2750 liveness 收口讨论。