Casbin 初始化易因路径错误、字段顺序不匹配、字符串隐式字符导致 panic 或 Enforce 永远返回 false；需用绝对路径加载模型、校验 request/policy 字段顺序一致、清除 BOM/CRLF、正确使用 keyMatch2 和 g 规则，并注意 domain 与适配器实例隔离。
直接用 casbin.NewEnforcer("model.conf", "policy.csv") 启动，大概率在正式环境 panic 或静默失效——路径、字段顺序、字符串一致性这三关没过，Enforce() 就会一直返回 false。
model.conf 和 policy.csv 路径填错导致 panic: file not found
Go 程序默认工作目录是 go run 命令执行时的当前路径，不是项目根目录，更不是 main.go 所在目录。硬写 "model.conf" 很容易找不到文件。
- 用
filepath.Join(filepath.Dir(os.Args[0]), "conf", "model.conf")拼出绝对路径，os.Args[0]是二进制路径，最稳 - Windows 下路径反斜杠要双写：
"conf\model.conf"，否则m被当转义符解析失败 - 或者绕过路径：用
ioutil.ReadFile读模型内容，再调casbin.NewEnforcerByModelAndAdapter(model, adapter)
Enforce() 总返回 false 的真实原因
不是策略没写，而是 model 定义和 policy 数据对不上。Casbin 只认字段位置，不猜语义。
- 检查
model.conf中[request_definition]行，比如r = sub, obj, act，那代码里必须按这个顺序传：e.Enforce("alice", "data1", "read") - 如果 model 写的是
r = sub, act, obj（常见于 REST 接口鉴权），你就得传e.Enforce("alice", "get", "/users/123") - 用
e.GetModel().PrintModel()打印当前加载的模型结构，确认 request 和 policy 的字段顺序完全一致 - 用
cat -A policy.csv查看 policy 文件末尾有没有^M（CRLF）或 BOM 字节，这些 invisible 字符会让整行解析失败
中间件里做 URL 路径匹配，为什么 KeyMatch2 是刚需
原始 URL 如 /api/v1/users/123 必须映射成策略里写的通配格式，比如 /api/v1/users/{id}，否则每条策略都得写死 ID，没法复用。
立即学习“go语言免费学习笔记（深入）”；
- 在 Gin 中间件里用
c.FullPath()拿到注册路由模板（如/api/v1/users/:id），正则替换/:([^/]+)→/{} -
model.conf的 matcher 必须用keyMatch2(r.obj, p.obj)，keyMatch不支持{id}这种写法 - 策略里写
p, admin, /api/v1/users/{id}, GET，不是/api/v1/users/123；否则加个新用户就得改策略 - 别在 matcher 里拼接字符串或调用自定义函数，性能敏感路径上只用内置
keyMatch2或regexMatch
RBAC 角色继承不生效，八成是 g 规则没加载或 domain 搞混了
g, alice, admin 这类角色映射行，必须和 [role_definition] 区块同时存在，且不能漏掉 g = _, _ 这一行定义。
- 确保
policy.csv里既有p行（权限规则），也有g行（角色继承），且都在同一文件或 adapter 可读范围内 - 用了
domain（多租户场景），必须显式调e.AddRoleForUserInDomain("alice", "admin", "tenant-a")，普通AddRoleForUser不起作用 - 数据库适配器（如 gorm-adapter）首次运行前要先调
adapter.CreateTable()，否则g关系表不存在，静默丢数据 - 调试时临时加
e.EnableLog(true)，能看到 role manager 是否查到了alice → admin这条链
最常被忽略的点：策略变更后，LoadPolicy() 不会自动重载 model，字段顺序或 matcher 改了必须手动 LoadModel()；而生产环境若共享 adapter 实例，多个 enforcer 并发 LoadPolicy() 可能互相覆盖——每个服务实例该有自己的 adapter 实例。
