用户在工作空间 A 发起生成报表，随即切到工作空间 B。等报表生成完成，回调读取全局 currentWorkspace 再埋点，这条事件就可能被记到 B。多租户埋点的错误不一定来自服务端：客户端在错误时机读取了正确的全局变量，也会产生归属错误。
对需要归属于原业务操作的异步事件，应在操作开始时保存必要上下文，回调使用这份快照，而不是重新读取当前选择。账号切换和退出登录还要单独制定策略，避免旧登录会话的回调进入新会话。本文用一段可运行的合成测试说明一种明确策略，不连接真实 SDK 或生产服务。
一、事件归属取决于哪一个业务时刻？
对于“某个工作空间里的报表已经生成”，空间归属应由那次报表操作决定，不应随用户当前打开哪个页面变化。对于“当前工作空间的菜单被点击”，归属则来自点击时的界面上下文。不能给所有事件套用一个“上报时再补租户”的规则。
先给事件契约补上两项：上下文在哪个业务边界取得，以及哪些变化会让未完成回调失效。这里采用的教学策略是：同账号内切换工作空间不改变已启动操作的归属；退出或换账号会使旧会话回调失效，并清空本地未发送队列。
后一条不是业务审计日志的通用规则。若服务端任务必须在用户退出后仍记录完成，应由服务端持久任务身份和授权上下文产生相应记录，不能依赖这个浏览器内存示例完成审计留痕。
二、闭包不等于已经复制了一份上下文
MDN 的闭包说明解释了函数与其词法环境的关系。如果回调读取的是会变化的外部变量，它不会因为写成箭头函数就自动拥有事件发生时的值。保存快照需要显式决定保存哪些字段。
对象展开同样不是任意层级的独立副本。Spread syntax 文档说明其浅复制性质；Object.freeze()也不会自动冻结所有嵌套对象。下方只选取已经校验的字符串字段，不接受整份业务对象或嵌套用户资料。
快照中的 workspace_id 是分析归属元数据，不是访问权限证明。客户端字段可以被伪造，不能据此放行跨租户数据访问。OWASP 授权指南要求在服务端可靠地检查权限，而不能把客户端控制当作最终鉴权。
三、复制运行：切空间、换账号和退出分别验收
保存为 workspace-context.cjs，使用 Node.js 20 或更新版本运行 node workspace-context.cjs。代码只使用内置模块，所有账号、空间和事件 ID 都是合成字符串，不需要任何服务账号。
'use strict';
const assert = require('node:assert/strict');
const nonempty = v => assert.ok(typeof v === 'string' && v.trim());
function createRecorder(project) {
nonempty(project);
let context = null, epoch = 0, queue = [];
return {
setContext(next) {
nonempty(next.account_id); nonempty(next.workspace_id);
if (!context || context.account_id !== next.account_id) {
epoch++; queue = [];
}
context = Object.freeze({
project, account_id: next.account_id,
workspace_id: next.workspace_id, epoch });
},
begin(event_id) {
assert.ok(context, 'no active account'); nonempty(event_id);
const snapshot = context;
let finished = false;
return () => {
if (finished || !context || snapshot.epoch !== epoch) return false;
finished = true;
queue.push(Object.freeze({
project: snapshot.project,
account_id: snapshot.account_id, workspace_id: snapshot.workspace_id,
event: 'report_generated', event_id }));
return true;
};
},
logout() {
epoch++; context = null; queue = []; },
takeBatch() {
const batch = queue; queue = []; return batch; }
};
}
let checks = 0;
const check = fn => {
fn(); checks++; };
const recorder = createRecorder('demo');
const input = {
account_id: 'account-a', workspace_id: 'space-a' };
recorder.setContext(input);
const finishA = recorder.begin('event-a');
input.workspace_id = 'mutated-external-input';
recorder.setContext({
account_id: 'account-a', workspace_id: 'space-b' });
const finishB = recorder.begin('event-b');
check(() => assert.equal(finishA(), true));
check(() => assert.equal(finishB(), true));
check(() => assert.equal(finishA(), false));
const batch = recorder.takeBatch();
check(() => assert.deepEqual(batch.map(e => [e.event_id, e.workspace_id]),
[['event-a', 'space-a'], ['event-b', 'space-b']]));
check(() => assert.throws(() => {
batch[0].workspace_id = 'tampered'; }, TypeError));
const afterLogout = recorder.begin('event-c');
recorder.logout();
check(() => assert.equal(afterLogout(), false));
check(() => assert.deepEqual(recorder.takeBatch(), []));
check(() => assert.throws(() => recorder.begin('without-account')));
recorder.setContext({
account_id: 'account-b', workspace_id: 'space-c' });
const afterAccountChange = recorder.begin('event-d');
recorder.setContext({
account_id: 'account-c', workspace_id: 'space-d' });
check(() => assert.equal(afterAccountChange(), false));
recorder.begin('event-e')(); recorder.logout();
check(() => assert.deepEqual(recorder.takeBatch(), []));
recorder.setContext({
account_id: 'account-c', workspace_id: 'space-d' });
check(() => assert.throws(() => recorder.setContext({
account_id: 'account-c', workspace_id: '' })));
check(() => assert.throws(() => recorder.begin('')));
const beforeRelogin = recorder.begin('event-f');
recorder.logout();
recorder.setContext({
account_id: 'account-c', workspace_id: 'space-d' });
check(() => assert.equal(beforeRelogin(), false));
console.log(JSON.stringify(batch.map(e => [e.event_id, e.workspace_id])));
console.log(`PASS: ${
checks} synthetic checks`);
预期输出：
[["event-a","space-a"],["event-b","space-b"]]
PASS: 13 synthetic checks
这十三组顶层检查通过 Node strict assert执行，覆盖空间切换、外部输入修改、重复回调、快照属性修改、退出后回调、换账号后回调、同账号重新登录、队列清理和无效字段。类比到异步请求时，begin 应放在业务操作的起始边界，返回函数只在确认对应操作完成后调用；不能“无论结果如何都调用一次”来凑成功事件。
四、这个实现保证什么，不保证什么？
snapshot 引用的是先前创建的冻结对象，切空间会建立新对象而不是修改旧对象；本例字段都是字符串，因此没有嵌套引用继续变化的问题。会话代次 epoch 独立于账号文本，同账号退出后再登录也不应该恢复旧会话回调的有效性。
返回函数里的 finished 只防止这个函数被重复执行而多入队，不是持久化的事件去重。如果两次 begin 使用相同 event_id，本例不会自动识别它们是同一业务操作；真实事件标识与接收端重投规则仍需另行定义。
takeBatch 只是取走内存数组，不是网络发送成功或数据持久化。它不包含断网重试、浏览器重启恢复、多标签页协同、队列容量和真实 SDK 的自动属性合并行为。若直接把这些对象交给 SDK，也必须按对应 SDK 的正式方法和字段契约重新集成验收，不能把教学对象当成协议请求体。
五、迁移到实际埋点链路的验收顺序
先用同一账号在 A 启动操作，切到 B，再让 A 的操作完成；检查实际发送载荷和最终事件记录是否仍归属 A。再测退出、换账号、同账号重新登录、请求失败和重复回调，核对哪些事件应该保留，哪些应该明确丢弃或交由服务端记录。不要只看 SDK 调用没有报错。
特别核对 SDK 的全局属性、自动属性或业务包装层会不会在发送时覆盖快照字段。本地测试通过，只说明示例策略自洽，不说明任一 SDK 版本、插件和队列配置都已验证。对需要账号或租户鉴权的服务端接口，还必须单独测试权限校验，分析字段不能承担这个职责。
SensorFlow 使用官方 Sensors Data SDK 生态构建开源、自托管事件分析链路；应用团队仍负责事件业务边界及工作空间标识。开源部署和合成 Demo 无需许可证，真实 SDK 载荷接收需要激活商业许可证。本文不声称 SensorFlow 内置了这个上下文管理器或多租户访问隔离；接入步骤以 SensorFlow 开发者文档为准。
作者关系与制作说明：本文由 SensorFlow 项目维护方发布，使用 AI 辅助整理并实际运行合成样本检查，无真实用户或租户数据。
