Enforce()总返回false主因是model.conf、policy.csv和参数三者未对齐：未显式调LoadPolicy()、g规则缺失或格式错误、参数顺序与[request_definition]不一致；需确保model.conf四区块完整、清除BOM/CRLF、用绝对路径加载。
enforce() 总返回 false，先盯这三处
不是 Casbin 有问题，而是 model.conf、policy.csv 和 Enforce() 参数三者没对齐。90% 的“权限不生效”都卡在这儿：
-
enforcer.LoadPolicy()没显式调用：用gorm-adapter或redis-adapter初始化后，内存策略为空，必须手动触发一次 -
g规则缺失或格式错：比如数据库里用户alice关联了角色admin，但没通过enforcer.AddRoleForUser("alice", "admin")写进内存，或 adapter 没同步，角色继承链就断了 - 参数顺序和
[request_definition]不一致：标准 RBAC 是r = sub, obj, act，你却传e.Enforce("alice", "GET", "/api/users")，Casbin 不报错，只默默返回false
顺手加一行：log.Printf("loaded policies: %+v", enforcer.GetPolicy())，比翻日志快十倍。
model.conf 必须四区块齐全且格式干净
少一个区块就 panic，格式错（比如 BOM、CRLF、空行）就静默失效：
-
[request_definition]：声明Enforce()入参结构，例如r = sub, obj, act -
[policy_definition]：声明策略行格式，p = sub, obj, act对应 CSV 中p, admin, /api/users, POST -
[role_definition]：声明角色映射，g = _, _表示用户→角色；写成g = _, _, _却只传两个参数，AddRoleForUser()会静默失败 -
[policy_effect]：决定多条策略冲突时怎么裁决，e = some(where (p.eft == allow))是最常用写法
漏掉 [role_definition]？所有角色继承失效；[matchers] 里没写 keyMatch2(r.obj, p.obj) 却想匹配 /api/users/123 和 /api/users/*？路径通配不生效。
立即学习“go语言免费学习笔记（深入）”；
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
微服务里别用 file-adapter 或 memory-adapter
纯内存模式或单实例配置在微服务中等于没做权限控制：
- 每个服务实例持有一份独立内存策略副本，A 实例上添加的规则，B 实例完全感知不到
-
file-adapter只读取启动时快照，运行时修改不持久化，其他实例更不会 reload - 即使用
gorm-adapter，也仅解决“存储统一”，不解决“变更实时生效”——Casbin 不主动轮询 DB
必须用支持实时同步的适配器：redis-adapter（靠 Pub/Sub 通知所有实例调 LoadPolicy()），或 gorm-adapter + 自动刷新策略缓存（比如每 5 秒检查一次时间戳）。
路径匹配必须换 keyMatch2，不能靠字符串 ==
RESTful 路径如 /api/v1/users/123 无法匹配 /api/v1/users/*，除非你改 matcher：
- 在
model.conf的[matchers]区块写：m = eval(keyMatch2(r.obj, p.obj)) - 确保用的是
casbin/v2或更高版本（keyMatch2在 v1 不可用） - 策略文件中写
p, admin, /api/v1/users/*, GET，而不是/api/v1/users/123 - 中间件里拿到的原始 URL（如
/api/v1/users/123）要转换成路由模板格式（如/api/v1/users/{id}）再喂给Enforce()
真正难的不是跑通第一行 Enforce()，而是让策略在多实例、带通配符、角色继承、热更新这些真实条件下一刻不掉链子——这些点一旦漏掉，线上权限就变成玄学。
