Go生态中真正能落地RBAC的只有Casbin，但需注意：Enforce()默认不报错、策略加载顺序、角色继承规则g必须显式定义、需自定义RoleManager对接数据库、sub应为角色而非用户ID、中间件需防panic和上下文泄漏。
Go 里用 casbin 做 RBAC，不是“配配策略就行”
直接说结论：Go 生态里真正能落地 RBAC 的，基本只有 casbin。它不绑定框架、支持多种模型、策略可热加载——但默认配置下，Enforce() 返回 false 却不报错，常被当成“权限没生效”，其实是策略没加载或 subject/role 匹配不上。
常见错误现象：enforcer.Enforce("alice", "/api/users", "GET") 返回 false，但查日志没报错，数据库里明明有 alice → admin 的角色映射。
- 检查
enforcer.InitModel()是否在LoadPolicy()之前调用（顺序反了会导致策略被清空） - 确认
g规则（角色继承）是否已加载，比如g, alice, admin这条必须存在，不能只靠数据库里的用户-角色关系自动推导 -
casbin默认不校验 subject 是否真实存在，它只管“如果这个 subject 有这些 role，能不能访问”，所以要自己在业务层做用户存在性校验
自定义 RoleManager 才能对接你的用户系统
官方 DefaultRoleManager 只维护内存里的 role 关系，一重启就丢。你不可能每次启动都手动 AddRoleForUser()，必须自己实现 RoleManager 接口，让 HasRoleForUser() 和 GetRolesForUser() 查你的数据库或缓存。
使用场景：用户角色从 MySQL 或 Redis 动态变更，要求 5 秒内生效。
立即学习“go语言免费学习笔记（深入）”；
- 不要重写整个
RoleManager，继承defaultrolemanager.DefaultRoleManager，只覆盖GetRolesForUser()和HasRoleForUser() - 注意并发：多个 goroutine 同时调
GetRolesForUser()时，避免重复查库，加一层本地 LRU 缓存（比如groupcache或bigcache） - 别在
GetRolesForUser()里做权限树递归查询——casbin自己会处理g规则的传递，你只需返回直接角色（如["admin"]）
Enforce() 调用前必须确保 sub 是角色名，不是用户 ID
RBAC 模型里 sub 字段代表“主体”，在经典 RBAC 中是 role（如 "admin"），不是 user（如 "user_123"）。但很多人直接传用户 ID，然后发现所有权限都拒绝——因为 casbin 默认模型（rbac_model.conf）里 g 规则匹配的是 g, sub, role，而你没写 g, user_123, admin 这条策略。
参数差异：Enforce("user_123", "/post", "write") vs Enforce("admin", "/post", "write")，前者永远失败，除非你改模型或加额外 g 策略。
- 业务层要先查出用户所有角色（
GetRolesForUser("user_123")），再对每个 role 调一次Enforce(role, obj, act) - 或者用
EnforceMatch()+ 自定义 matcher，把用户 ID 映射到角色，但会损失策略可读性 - 别依赖
casbin的AddNamedGroupingPolicy()在运行时动态加g规则——高频写入会影响性能，且需自己保证一致性
HTTP 中间件里用 casbin 要防 panic 和上下文泄漏
在 Gin 或 Echo 的中间件里调 enforcer.Enforce() 很自然，但两个坑容易漏：一是 Enforce() 可能 panic（比如 model 加载失败但没检查 error），二是把 *casbin.Enforcer 直接塞进 context.WithValue()，导致 GC 不掉或并发误用。
性能影响：每次请求都新建 enforcer 实例？那 QPS 上不去；全用单例但没设 EnableLog(false)？日志刷爆磁盘。
- 全局只初始化一个
*casbin.Enforcer，用sync.Once或依赖注入管理 - 中间件里用
defer func(){ if r := recover(); r != nil { /* 记录并返回 403 */ } }()捕获潜在 panic - 别把
enforcer放 context，需要时直接从全局变量或 DI 容器取；如需传参数，只传subject、obj、act字符串
最常被忽略的点：策略文件（.csv）和数据库策略混用时，LoadPolicy() 默认只加载文件，你要显式调 LoadFilteredPolicy() 或用 Adapter 加载 DB 策略——否则改了数据库，服务重启前权限不会更新。
