不能直接用casbin.NewEnforcer("model.conf", "policy.csv")，因微服务多实例下策略不共享、不刷新、不隔离；必须用redis-adapter或gorm-adapter配合实时同步机制，禁用file/memory适配器。
直接用 casbin.NewEnforcer("model.conf", "policy.csv") 启动 Casbin，在微服务或生产环境里等于没做权限控制——策略不共享、不刷新、不隔离，一上线就失效。
为什么不能直接 NewEnforcer 加载文件或内存模型
微服务多实例部署时，每个进程都持有一份独立的策略副本。你在 A 实例调用 enforcer.AddPolicy() 添加一条规则，B 实例完全感知不到；重启后所有内存策略丢失；policy.csv 是只读快照，运行时修改不会自动重载，其他实例更不会同步。
常见错误现象包括：后台添加了“用户A可编辑订单”，但前端调用仍 403；测试环境 OK，上线后部分实例鉴权失败；灰度发布时权限行为不一致。
- 必须用支持中央存储 + 实时同步的适配器，如
redis-adapter（带 Pub/Sub）或gorm-adapter（配合定时LoadPolicy()） - 禁止使用
file-adapter或memory-adapter，它们只适合单机 demo - 若用 MySQL，需加缓存检查逻辑：
if time.Since(lastLoad) > 5*time.Second { enforcer.LoadPolicy() }，否则每次鉴权都查库，QPS 上不去
怎么把 HTTP 请求正确映射成 Casbin 的三元组
直接传 r.Method 和 r.URL.Path 给 enforcer.Enforce()，90% 会漏判。因为 Casbin 匹配依赖标准化的 sub（主体）、obj（资源）、act（动作），而原始请求字段语义混乱、格式不一。
立即学习“go语言免费学习笔记（深入）”；
-
act必须映射为语义化动作：用map[string]string{"GET": "read", "POST": "create", "PUT": "update", "DELETE": "delete"}转换 -
obj必须路径归一化：先strings.TrimRight(r.URL.Path, "/")，再用正则替换动态段，如/api/users/123 → /api/users/:id - 模型中
[matchers]必须用keyMatch2，它才支持:id和*.js这类通配，keyMatch不行 - 若跨服务，
Enforce()应传四元组：enforcer.Enforce(sub, domain, obj, act)，其中domain填服务名（如"order-service"），否则 RBAC 策略无法按服务隔离
RBAC 角色继承怎么持久化，别写在代码里
Casbin 的角色继承（比如 “editor 继承 user 权限”）不是靠 enforcer.AddGroupingPolicy() 临时加进去就完事的——这只会存在内存里，重启即丢，也不被其他实例知道。
真实做法是把 g 规则当策略数据存进 Adapter：
- 数据库表
casbin_rule中，ptype = 'g'的记录就是继承关系，例如：p, role_editor, role_user, group - 用
gorm-adapter时，插入这条记录即可；用redis-adapter，通过enforcer.AddGroupingPolicy()后必须调用adapter.SavePolicy() - 调试时用
enforcer.GetGroupingPolicy()查当前加载的继承链，比猜靠谱得多 - 避免超过 2 级嵌套继承（A→B→C→D），计算开销随深度指数增长，Casbin 不报错但延迟飙升
ABAC 属性怎么安全传给 Enforce()，字段名和类型必须对齐
ABAC 不是把整个 user 结构体塞进 Enforce() 就能用的。Casbin 要求属性对象的字段名、类型必须与模型中 [request_definition] 完全一致，否则匹配器直接忽略该字段。
比如模型写了 r = sub, obj, act, tenant, ip，那传入的属性 map 必须是：
map[string]interface{}{
"tenant": "acme-inc",
"ip": "192.168.1.100",
}
而不是 tenant_id 或 clientIP —— 字段名错一个，ABAC 规则就失效。
- 字段类型也要严格匹配：模型定义
ip是字符串，就不能传net.IP类型 - 建议在网关层统一注入属性（如从 JWT 解析出
tenant、department），下游服务只取不用验 - 不要在业务代码里硬编码
"admin"或"root"，这些值应来自中心认证服务，否则绕过风险极高
最常被忽略的一点：Casbin 本身不处理身份认证，也不管用户/角色数据从哪来。它只做一件事——判断 “这个主体，在这个上下文里，能不能执行这个动作”。所以 sub 是什么、tenant 是哪来的、obj 归一化逻辑写在哪，这些都得你亲手串起来，缺一环，整个权限链就断在中间。
