rbac_model.conf 必须显式包含 [request_definition]、[policy_definition]、[role_definition]、[policy_effect] 四个区块，缺一即导致 Casbin 初始化 panic；其中 [role_definition] 用于 RBAC 角色继承，[policy_definition] 需以 p = 开头，[policy_effect] 必须有合法表达式如 some(where (p.eft == allow))。
rbac_model.conf 缺哪四个区块会直接 panic
Casbin 启动时根本不会运行，而是直接 panic——不是运行时报错，是初始化失败。必须显式写全：[request_definition]、[policy_definition]、[role_definition]、[policy_effect]。少一个就起不来。
常见翻车点：
-
[role_definition]写成g = _, _是对的；写成g = _, _, _（多一个字段）在启用 domains 时会静默失效，AddRoleForUser()看似成功，Enforce()却永远 false -
[policy_definition]忘了加p.前缀，比如写成sub, obj, act而不是p = sub, obj, act，策略压根不加载 -
[policy_effect]空着或语法错（如漏掉some(where (p.eft == allow))），Casbin 拒绝初始化
验证方式：启动时加 e.EnableLog(true)，看日志是否输出模型加载成功；或者调用 e.GetPolicy()，返回空 slice 就说明模型/策略没加载进去。
Enforce() 总是 false？先查参数顺序和 matcher
Enforce() 不报错、不 panic，只默默返回 false，90% 是因为参数顺序或 matcher 配置错位。
立即学习“go语言免费学习笔记（深入）”；
关键检查点：
- 对照
[request_definition]中定义的顺序，比如r = sub, obj, act，调用时必须严格按这个传：e.Enforce("alice", "/api/users", "GET")；传成"GET", "alice", "/api/users"就匹配不上 - 路径带
*通配符？默认 matcher 是字符串全等，/api/users/*不会匹配/api/users/123。必须在[matchers]段启用：matcher = eval(keyMatch2(r.obj, p.obj)) - 用了 domains 模型（
r = sub, dom, obj, act），但只传三个参数——第四个dom缺失，整个匹配跳过，结果恒 false
别靠猜，开日志：no policy matched 或 matcher: false 是最直接线索。
微服务间权限校验该用 JWT 还是 service_id 白名单
JWT 适合携带身份+短时效声明，但不建议把复杂权限逻辑塞进 token；service_id 白名单更轻量、可控，适合服务间强信任场景。
实操建议：
- JWT 仅放
service_id和exp，签名密钥用服务专属 secret（别所有服务共用一个），避免 token 泄露导致横向越权 - 权限判断放在被调用方中间件里：解析 JWT → 提取
service_id→ 查内存 map 或 Redis 白名单（如allowed_callers:order-service）→ 不在列表中直接403 - 别在 JWT 里硬编码权限数组（如
"perms": ["user:read"]），token 一旦签发就不可撤回，权限变更需等过期，运维成本高 - 若需动态策略（如“支付服务只能调订单服务的 /v1/pay 接口”），用 OPA 或 Casbin 的远程策略服务，JWT 只做身份锚点
权限缓存更新不同步导致线上 403
线上改完策略，部分请求仍 403，不是代码问题，是缓存视图不一致。
根本原因和解法：
- 直接调
e.AddPolicy()只写内存，不刷新内部 cache —— 新策略生效，但旧 goroutine 还在读旧 cache -
e.LoadPolicy()会清空全量再重载，高并发下有短暂窗口期，所有请求都可能 403 - 正确做法：用命名策略操作，如
e.AddNamedPolicy("p", "order-service", "/api/orders", "POST")，它原子更新单行，不 reload 全量，也不污染 cache - 如果策略来自数据库或配置中心，监听变更事件后，只调
AddNamedPolicy/RemoveNamedPolicy，别碰LoadPolicy
真正难的不是第一次跑通 Enforce()，是让所有 goroutine 在任意时刻看到同一份最新策略——Casbin 内置锁和原子操作就是干这个的，绕开它自己搞 map + sync.RWMutex 反而更容易出竞态。
