Casbin.Enforce()总返回false，因sub未校验JWT来源、obj未标准化路径（含双斜杠/动态段）、act未映射为语义化动作（如GET→read），三元组不匹配导致策略失效。
为什么直接在 Gin 中间件里调用 enforcer.Enforce() 总是返回 false
因为 Enforce() 需要严格匹配三元组：sub（用户标识）、obj（资源路径）、act（动作），而多数人传进去的值未经清洗或映射：
-
obj直接用c.Request.URL.Path，但前端可能发/api/users//123或/api/users/123/，而策略里写的是/api/users/:id，默认keyMatch不处理双斜杠、尾部斜杠或动态段 -
act直接用c.Request.Method（如"GET"），但策略里定义的是语义化动作（如"read"），字符串不等就匹配失败 -
sub从c.GetString("user_id")拿，但没校验该字段是否真实来自可信 JWT 解析，伪造 header 可绕过
如何标准化 obj 路径并正确替换动态段
Gin 路由注册时用 GET("/api/users/:id", handler)，但 c.Request.URL.Path 是原始路径，不含 :id 占位符。必须手动还原——不能靠正则硬匹配，得结合 c.Params。
- 先做基础清洗：
path := strings.TrimRight(c.Request.URL.Path, "/") - 再逐段比对
c.Params，把/api/users/123→/api/users/:id；示例逻辑：for _, param := range c.Params { path = strings.Replace(path, "/"+param.Value, "/:"+param.Key, 1) } - 避免误替换：只替换末尾匹配的参数值，且仅替换一次（防止
/users/12345被错替成/users/:id45） - 若使用
gin-contrib/pprof或 Swagger 文档路由（如/swagger/*any），需提前排除，否则Enforce()会查无策略
怎么把 GET 映射成 read 而不是硬编码字符串
HTTP 方法只是传输层标识，Casbin 策略应基于业务语义。硬写 "GET" 会导致策略无法复用（比如 GraphQL 接口统一走 POST，但动作仍是 read）。
- 定义映射表：
actMap := map[string]string{"GET": "read", "POST": "create", "PUT": "update", "DELETE": "delete", "PATCH": "update"} - 取值时用：
act := actMap[c.Request.Method]，未命中则拒绝（""传给Enforce()必然失败） - 如果接口支持多动作（如一个 POST 同时创建+发布），不要塞多个
act，而应在模型中改用 ABAC 或扩展[request_definition]加字段 - 注意大小写：Gin 的
c.Request.Method是大写，但有些网关可能转小写，建议统一strings.ToUpper()再查表
RBAC 角色继承为什么重启后就失效了
很多人调用 enforcer.AddGroupingPolicy("alice", "admin") 测试成功，但服务重启后 enforcer.GetGroupingPolicy() 返回空——因为 AddGroupingPolicy() 只写内存，没落库。
- 角色继承规则（
g行）和权限策略（p行）一样，必须通过Adapter持久化，例如gorm-adapter或file-adapter - 数据库表
casbin_rule中，ptype = 'g'的记录才是继承关系，别和ptype = 'p'混在一起插入 - 调试时用
enforcer.GetGroupingPolicy()查当前加载的继承链，比翻日志快得多 - 多层继承（A→B→C→D）虽支持，但每次
Enforce()都要递归展开，实测 4 层以上延迟明显上升，生产环境建议控制在 2 层内
