必须先注册认证中间件再注册requireRole中间件，因后者仅比对上下文中的角色，不负责加载；若角色未存入context或key名错误、未判ok断言、token解析失败未abort，均导致403。
requireRole中间件为什么总是返回403
不是权限配置错了，而是角色根本没传进来。这类中间件只做比对，不负责加载角色——它假定 c.Get("user") 或 c.Request.Context().Value(userKey) 已经有值。
- 认证中间件（如 JWT 解析）必须在
requireRole之前注册，否则上下文为空 - JWT claims 里角色字段名写错：后端存的是
"user_role"，但中间件读"role"，断言失败后ok为 false - 用了
c.Next()再调c.Set("user", ...)——此时 handler 已执行，下游中间件根本看不到新设的值 - token 解析失败但没调
c.Abort()，导致后续中间件拿到空或类型错误的user
如何安全地在 Gin context 中存取用户角色
别用 c.Set("role", "admin") 后直接 c.Get("role").(string)——一旦未设置、类型不符或值为 nil，就会 panic。
- 必须先判
ok：role, ok := c.Get("role").(string); if !ok { return } - 更稳妥的做法是存结构体指针：
c.Set("user", &User{ID: 123, Role: "admin", Permissions: []string{"user:read"}}，取时同样要u, ok := c.Get("user").(*User) - 如果用原生
context.WithValue（比如在自定义http.Handler中），key 必须是自定义类型：type ctxKey string; const userKey ctxKey = "user"，避免和其它中间件字符串 key 冲突
支持多角色或层级权限的 requireRoles 中间件怎么写
硬编码 if role != "admin" 无法应对真实场景。需要能处理角色列表、等级、甚至动态策略。
- 传入角色切片：
requireRoles([]string{"admin", "editor"})，内部用sliceContains(roles, currentRole)判断 - 用 map 存角色等级：
roleLevel := map[string]int{"viewer": 1, "editor": 2, "admin": 3}，检查roleLevel[current] >= requiredLevel - 不要在中间件里写具体权限判断（如
hasPermission("order:delete")），那是业务逻辑，应交给 handler 或独立的CanAccess(ctx, "order", "delete")函数 - 路径匹配优先用
strings.HasPrefix(r.URL.Path, "/admin/")，比正则轻量，也避免路由变量干扰（/users/{id}中的{id}不会被自动解析）
为什么生产环境建议用 Casbin 而不是手写 RBACManager
手写 RBAC 在 demo 里跑得通，但一上生产就暴露问题：权限变更要重启进程、并发读写需加锁、无法热更新策略、不支持“只能删自己创建的 order”这种实例级控制。
立即学习“go语言免费学习笔记（深入）”；
- Casbin 把策略存在内存、文件或 DB，支持运行时动态 reload
- 它用
model.conf定义模型（RBAC/ABAC），policy.csv或 DB 存规则，解耦清晰 - 调用简单：
e.Enforce("alice", "/order/123", "delete")，返回 bool，不用自己维护 map 和锁 - 注意：Casbin 不负责认证，它只做鉴权——你仍需前置中间件把
userID和resource/action提取出来传给它
