Enforce() 返回 false 主因是参数顺序与 model.conf 中 request_definition 字段顺序不一致，如 r = sub, obj, act 时须依次传用户ID、资源路径、动作，且需注意角色名误用、query参数、大小写及匹配函数选择等细节。
Enforce() 返回 false？先看参数顺序和 model 定义是否对齐
Casbin 不是“调了就通”的黑盒，Enforce() 返回 false 却查不到原因，90% 是因为传参顺序和 model.conf 里 [request_definition] 的字段顺序不一致。比如模型写的是 r = sub, obj, act，你就必须按这个顺序传：
- 第一个参数是用户 ID（
string，不是结构体） - 第二个是资源路径（如
/api/v1/users） - 第三个是动作（
GET、POST等）
常见错误：
- 把角色名当用户 ID 传（比如传
"admin"而不是"user:123"） - 资源路径带 query 参数（
/api/v1/users?id=1），但策略里只写了/api/v1/users，keyMatch3默认不匹配 query - 动作大小写混用（
"get"vs"GET"），而 model 里没配regexMatch或ipMatch
rbac<em>model.conf</em> 里 g = , _ 没生效？检查 role_definition 和策略行格式
立即学习“go语言免费学习笔记（深入）”；
RBAC 的角色继承靠 [role_definition] 和 g 行策略驱动。如果 e.Enforce("alice", "/api/v1/users", "GET") 该通却没通，别急着改代码，先翻 policy 文件：
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 所有
g行必须严格两列：g, alice, admin（不能多空格、不能有注释、不能漏逗号） -
g行的第二列必须是角色名，且该角色名得在p行里作为sub出现过（比如p, admin, /api/v1/users, GET） - 如果用了多域（domains），
g行就得是三列：g, alice, admin, domain1，同时Enforce()得传四参数，且 model 里要定义r2 = sub, dom, obj, act
LoadPolicy() 调了但权限没更新？确认 adapter 类型和调用时机
用数据库存策略（比如 gorm-adapter）时，e.LoadPolicy() 不是自动触发的——它只从存储加载一次。动态改权限后：
- 不能依赖“改完 DB 就生效”，必须显式调
e.LoadPolicy() - 如果并发高，建议加锁或用
e.LoadFilteredPolicy()做增量加载 - 文件适配器（
file-adapter）不支持热重载，改了policy.csv必须重启或手动e.LoadPolicy() - 注意：
LoadPolicy()会清空内存中旧策略，全量覆盖，不是 merge
keyMatch3 和 regexMatch 怎么选？看资源路径是否含通配符
路径匹配函数直接决定 /api/v1/users/* 这类规则能不能生效：
-
keyMatch：只支持<em></em>结尾（/api/v1/users/✅，/api/*/users❌） -
keyMatch2：支持单星号任意位置，但不支持双星号（/api/**/users❌） -
keyMatch3：支持*<em></em>和，也处理 query（推荐用于 RESTful API） -
regexMatch：完全自定义正则，但性能开销明显，仅在复杂路由时用（比如^/api/v\d+/users/\d+$）
实际用法示例（model.conf 片段）：
m = g(r.sub, p.sub) && keyMatch3(r.obj, p.obj) && r.act == p.act
真正容易被忽略的点是：model 里的 [matchers] 不只是语法糖，它编译成 Go 表达式后直接参与每次 Enforce() 调用。写错一个括号或漏掉 g() 调用，整个 RBAC 继承就断了，而且不会报错，只会静默返回 false。
