必须全局复用Enforcer实例，因NewEnforcer每次调用会重载策略、无缓存且非线程安全；Enforce()线程安全并自带LRU缓存，需启用keyMatch2匹配路径通配，路径须标准化，OIDC角色需透传为sub字符串，Viper仅热更新源配置而非策略内容。
直接复用全局 Enforcer 实例，配合路径标准化 + keyMatch2 + OIDC子类型透传，才能撑住高并发且策略实时生效；每次请求 NewEnforcer() 或漏做路径归一化，鉴权必崩或静默放行。
为什么不能在网关中间件里每次 new Enforcer
因为 NewEnforcer() 会触发完整策略重载：从文件/DB/Redis 拉取、解析、构建 RBAC 模型，CPU 和 I/O 开销大；并发高时还可能因加载不同步导致结果不一致。更关键的是它默认不启用缓存，Enforce() 反复做字符串匹配和角色继承计算，QPS 上不去。
- 必须启动时一次性初始化：
e, _ := casbin.NewEnforcer("model.conf", adapter) - 中间件中只调
e.Enforce(sub, obj, act)—— 它线程安全且自带 LRU 缓存（默认 1000 条） - 若用
fileadapter，改了policy.csv后要手动e.LoadPolicy()；用gormadapter或redisadapter才能监听变更自动刷新
如何让 /api/users/123 匹配 /api/users/* 策略
keyMatch 不支持通配符，keyMatch2 才行，但光换函数不够——你得把原始路径转成策略能认的格式。别直接用 c.Request.URL.Path，它可能含查询参数、双斜杠或尾部斜杠，也不反映路由模板。
- 用
c.FullPath()拿注册时的路由模板（如/api/users/:id），再正则替换/:([^/]+)→/*，得到/api/users/* - 确保
model.conf中[matchers]行写的是m = g(r.sub, p.sub) && keyMatch2(r.obj, p.obj) && r.act == p.act（注意无空格） - 策略文件里写
p, admin, /api/users/*, GET，不是/api/users/{id}或/api/users/123
OIDC 认证后怎么安全透传角色给 Casbin
原始 JWT 不能透传，下游验签成本高、易出错；明文 header（如 X-Roles）没签名，不可信。Casbin 的 sub 参数要的是角色名（如 "admin"），不是用户 ID（如 "u-789"），否则 g(r.sub, p.sub) 匹配失败。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
- 网关验签 JWT 后，生成短期内部 token（exp ≤ 5min），只含
sub（用户 ID）、roles（角色数组）、exp，用服务间共享密钥签名 - 通过
X-Internal-Token透传，下游只验这个 token，不再碰 OIDC endpoint - 中间件里从内部 token 解出
roles，拼成sub字符串（如"admin,editor"），或遍历每个 role 调一次e.Enforce() - 若策略依赖角色继承（
g, role_editor, role_user），确保这些g规则存进 Adapter，而非内存临时添加
Viper 热更新策略源配置但不热更新策略内容
viper.WatchConfig() 只能热更新「策略从哪来」这个元配置，比如切换 Redis 地址、开闭 DB 回源开关；它不会自动 reload 策略数据本身。很多人误以为改了 viper 配置策略就生效，结果权限卡死。
- 定义结构体承载源配置：
type PolicySource struct { Type string; RedisAddr string } - 在
viper.OnConfigChange()回调里重建 adapter，再e.SetAdapter(newAdapter)，**紧接着必须调e.LoadPolicy()** - 若新 adapter 初始化失败（如 Redis 连不通），应保留旧 adapter 并记录 error，避免鉴权服务整体不可用
- 策略内容变更（如增删某条
p行）仍需靠 adapter 自身机制（如 redis pub/sub）触发e.LoadPolicy()或e.LoadFilteredPolicy()
最易被忽略的点是：路径标准化和 sub 类型必须严格对齐策略定义——Enforce() 第一个参数是 string，传 int 会静默返回 false；obj 若含双斜杠或尾部斜杠，keyMatch2 也匹配不上。这些细节不处理，策略写得再全也没用。
