Enforce()总返回false主因是三元组未标准化：act需映射为语义动作（如"GET"→"read"），obj须归一化路径（去尾斜杠、转动态参数），且matcher必须用keyMatch2/keyMatch3支持通配符匹配。
直接在 Gin 中间件里调用 enforcer.Enforce() 但没做标准化处理，大概率会漏判——不是 Casbin 不好用，是三元组传得不干净。
为什么 Enforce() 总返回 false？
常见现象：策略里写的是 p, admin, /api/users/:id, read，但中间件传进去的是 sub="admin", obj="/api/users/123/", act="GET"，匹配必然失败。
-
act必须映射为语义动作：用map[string]string{"GET": "read", "POST": "create", "PUT": "update", "DELETE": "delete"}转换，别直接传 HTTP 方法名 -
obj必须归一化：先strings.TrimRight(r.URL.Path, "/")去尾斜杠，再用正则或路由参数提取规则（如/api/users/123→/api/users/:id） - 模型中
[matchers]必须用keyMatch2或keyMatch3，默认keyMatch不支持:id和双斜杠清理
RBAC 角色继承为啥不生效？
调试时 enforcer.GetGroupingPolicy() 返回空，说明继承规则根本没加载进来。
-
g规则（如g, role_editor, role_user）必须存进 Adapter（数据库或文件），不能只调enforcer.AddGroupingPolicy()临时加——重启就丢 - 确认数据库表
casbin_rule中ptype = 'g'的记录存在且格式正确：g, subject, object, domain（可选） - 避免嵌套超过 2 层（A→B→C→D），计算开销会指数增长；生产环境建议扁平化设计
ABAC 属性怎么安全传给 Enforce()？
字段名或类型错一位，Enforce() 就静默失败，不会报错。
- 属性对象字段名必须和模型中
[request_definition]完全一致，比如模型写r = sub, obj, act, tenant_id, ip，你就得传struct{ TenantID string; IP string }，不能是tenantId或ip_addr - 不要手动拼结构体，用 map[string]interface{} 更灵活，但 key 名仍需严格对齐
- ABAC + RBAC 混用时，
Enforce()参数顺序必须和模型定义顺序一致，否则字段错位
最常被忽略的点：模型里 [matchers] 用的是 keyMatch 还是 keyMatch2，差一个数字，/users//123 和 /users/:id 就永远不匹配。上线前务必用 enforcer.Enforce("test", "/api/users//123", "read") 手动验证路径归一化逻辑是否走通。
