Kratos本身不提供RBAC实现，必须组合jwt中间件与Casbin等自定义权限引擎；jwt.New()若漏配signing key或method不匹配会panic或返回token is invalid，且解析后需手动提取claims并桥接Casbin校验。
Kratos 本身不提供 RBAC 实现，必须自己组合 jwt 中间件 + Casbin（或自定义权限引擎）来落地，否则所谓“RBAC”只是空转。
jwt.New() 配错 signing key 或 method 就会直接 panic 或 token is invalid
这是最常卡住的第一步。Kratos 的 jwt.New() 不是声明式配置，而是运行时校验入口，漏掉关键参数立刻崩溃：
-
jwt.WithSigningKey()必须传入非空密钥，否则启动时 panic 报错signing key is required -
jwt.WithSigningMethod(jwt.SigningMethodHS256)必须和签发 token 时用的算法严格一致；若后端用 HS256 签发，但中间件配成jwt.SigningMethodRS256，则所有请求返回token is invalid - 密钥建议从环境变量或配置中心加载，避免硬编码；若用
[]byte("my-secret")，注意长度是否满足算法要求（如 HS256 建议 ≥32 字节）
JWT 解析后用户信息怎么传给 Casbin 做 RBAC 校验
jwt 中间件只负责解析并把 *jwt.Token 存进 ctx.Value，不会自动提取 user ID、role 字段，更不会对接 Casbin。你需要手动桥接：
- 在 jwt 中间件之后挂一个自定义中间件（比如叫
casbinMiddleware），用jwt.FromContext(r.Context())拿到 token，再调token.Claims.(jwt.MapClaims)提取"sub"或"role" - Casbin 的
enforcer.Enforce()第一个参数sub建议用用户 ID（如user.ID），不是角色名；角色名容易冲突，且无法支持多角色合并逻辑 -
obj推荐拼成r.URL.Path + ":" + r.Method（例如/v1/users:POST），这样策略可复用、易审计，也方便后续扩展数据权限（如加租户前缀） - 务必确保 Casbin
enforcer在 HTTP server 启动前已初始化完成；wire.go 里用 provider 注入最稳妥，避免中间件里拿到 nil
为什么加了 jwt 和 casbin 中间件，接口还是全放行或全拦截
这不是框架 bug，而是权限链没串对或策略没生效。常见断点位置：
- 中间件注册顺序错了：
casbinMiddleware必须在jwt.New()之后，否则jwt.FromContext()拿不到 token - Casbin 策略没加载：用
enforcer.LoadPolicy()或适配器（如gorm-adapter）加载，别用enforcer.AddPolicy()硬编码——重启就丢 - RoleBinding 类型没对齐：如果你的策略是
p, admin, /v1/users:GET, allow，但代码里传的是user.ID = "1001"而不是"admin"，那永远不匹配；RBAC 模型中 sub 应该是角色，不是用户 ID —— 这取决于你设计的模型是 RBAC0 还是带用户→角色映射的 RBAC1，得统一 - HTTP handler 里没显式 return error：Casbin 拦截失败后要主动写
http.Error(w, "forbidden", http.StatusForbidden)或抛出errors.BadRequest，Kratos 不会自动终止流程
生产环境 Casbin 策略存储不能用内存或字符串
本地开发用 model, adapter := casbin.NewModelAndAdapterInMemory(...) 没问题，但上线必须换：
- 选
gorm-adapter对应 MySQL/PostgreSQL，或redis-adapter对应 Redis；否则改个权限就得重启服务，运维不可接受 - 策略表结构别手写，用 adapter 自带的 migration；尤其注意字段长度（如
v0字段可能存 role 名，超长会截断） - 如果用 Redis，记得设 TTL，避免策略变更后旧缓存长期不刷新；Casbin 本身不带自动失效机制
真正难的不是写几行 Casbin 代码，而是把“谁属于什么角色”“什么角色能访问什么路径”这两层映射关系，在数据库里建清楚、在内存里加载准、在每次请求里查得稳——任何一环脱节，RBAC 就只剩名字。
