直接用casbin_mw.Middleware校验失败是因为Echo不自动注入用户信息，需在JWT等认证后手动调用c.Set("sub", username)；keyMatch支持*和:id前缀匹配；MySQL策略需显式LoadPolicy()刷新；RBAC中g规则字段数与策略顺序必须严格一致。
为什么直接用 casbin_mw.Middleware 会校验失败？
因为默认中间件只从 c.Get("username") 取 subject，而 Echo 默认不往 context 写入用户信息。如果你用的是 JWT 或 session 认证，必须手动把用户标识塞进去，否则 r.sub 始终为空，所有 enforce() 都返回 false。
常见错误现象：enforcer.Enforce("","/api/user","GET") 返回 false，但策略里明明有 p, alice, /api/user, GET。
- 在认证中间件（如 JWT 验证后）调用
c.Set("username", claims.Username)或c.Set("sub", claims.Username) - 确保 set 的 key 和 model 中
[request_definition]里的字段名一致（比如你写的是r = sub, obj, act，那就得用c.Set("sub", ...)） - 不要依赖
c.Param或c.QueryParam自动注入——Casbin 中间件不解析路径或查询参数
keyMatch 在 RESTful 路由中怎么写才匹配得上？
Echo 的路由是 /users/:id 这种格式，但 Casbin 策略里存的通常是 /users/* 或 /users/:id 字面量。直接用 == 肯定不匹配，必须靠 keyMatch 这类内置函数做通配处理。
典型场景：用户请求 GET /users/123，策略想允许所有 /users/* 的 GET 操作。
- model 的
[matchers]段要写成：m = g(r.sub, p.sub) && keyMatch(r.obj, p.obj) && r.act == p.act - 对应策略文件（
policy.csv）里写：p, admin, /users/*, GET - 注意：
keyMatch不支持正则，只认*和:id这类前缀匹配；若需更灵活的路径解析（如提取:id后做 DB 校验），得自己写 matcher 函数并注册到 enforcer
如何让 Enforcer 加载 MySQL 策略并热更新？
用文件存策略在开发期还行，上线后改权限要重启服务，根本没法接受。MySQL 适配器能解决持久化，但默认不监听变更——你手动 INSERT 一条策略，enforcer 不会自动感知。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
关键点不在 adapter，而在 enforcer 的刷新机制。
- 初始化时用
gormadapter.NewAdapter(...)创建 adapter，再传给casbin.NewEnforcer(model, adapter) - 每次增删策略后，**必须显式调用**
e.LoadPolicy()，否则内存策略不会更新 - 如果多个实例共用一套策略（如多台 API 服务器），不能只靠单点
LoadPolicy()；得加一层通知机制（如 Redis Pub/Sub），或者改用支持自动同步的 adapter（如casbin-pg-adapter的 watch 模式） - 避免在 HTTP handler 里频繁调用
LoadPolicy()—— 它会全量重载，QPS 高时可能成为瓶颈
RBAC 场景下，g 规则写错会导致角色继承失效
很多人以为只要写了 [role_definition] g = _, _，再调用 AddRoleForUser("alice", "admin") 就能继承权限，结果 enforce("alice", "/admin", "POST") 还是 false。
根本原因：model 里的 g 定义和策略数据格式必须严格对齐。
- model 必须包含
[role_definition]段，且字段数与g规则一致，例如：g = _, _表示两字段（用户→角色），g = _, _, _表示三字段（用户→角色→域） - 策略 CSV 里对应行必须是
g, alice, admin，不能写成g, admin, alice（顺序反了就查不到） - 如果用了 domain（租户），model 得写
g = _, _, _，策略就得是g, alice, admin, tenant-a，且 enforce 时要传四参数：e.Enforce("alice", "tenant-a", "/admin", "POST")
最易被忽略的一点：Casbin 不管你是用 JWT、session 还是 Basic Auth 做认证，它只消费一个干净的 sub 字符串。别指望它自动解析 token 或关联数据库用户表——那部分逻辑必须由你收口，在调用 Enforce 前准备好所有输入参数。
