Casbin中间件未拦截请求是因为Enforce仅返回bool，必须显式return响应；常见错误是校验失败后未return，导致c.Next()仍执行；正确做法是if !e.Enforce(){return c.Status(403)...}。
为什么 Casbin 中间件挂了但没拦住请求
Casbin 本身不终止请求流程，只返回 bool；你必须显式写响应并 return，否则即使 e.Enforce() 返回 false，请求仍会继续执行到 handler。
常见错误包括：
- 中间件里只写了
if !e.Enforce(...) { c.Status(403).SendString("forbidden") }，但忘了return -
e.Enforce()第一个参数传了int或结构体，实际要求是string，静默失败 - 没提前把用户 ID 写入
c.Locals["userID"]，导致提取不到sub
正确做法是：校验失败时直接 return c.Status(403).SendString(...)，不调 c.Next()；放行才调 c.Next()。
怎么从 Fiber 上下文安全提取 sub/obj/act 三元组
sub（用户）、obj（资源）、act（动作）必须从 *fiber.Ctx 显式提取，Casbin 不自动识别框架上下文。
立即学习“go语言免费学习笔记（深入）”；
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
sub：推荐从c.Locals["userID"].(string)读，由 JWT 认证中间件提前写入 -
obj：用c.Route().Path（如/api/v1/users），不是c.Path()（如/api/v1/users/123）——后者含参数值，无法匹配策略 -
act：直接用c.Method()，或映射为业务动作名（如GET → "read"）
注意：c.Route() 在未匹配到任何路由时返回 nil，需加空值判断，否则 panic。
如何支持 /user/:id 这类带参数路径的权限通配
默认 Casbin 模型用字符串全等匹配，/user/:id 和 /user/123 被视为不同 obj，权限永远不生效。
- 必须启用
keyMatch2matcher，在模型文件rbac_model.conf的[matchers]段改为：m = g(r.sub, p.sub) && keyMatch2(r.obj, p.obj) && r.act == p.act - 加载模型时显式指定：
casbin.NewEnforcer("rbac_model.conf", adapter)，Casbin 不会自动识别 matcher 名称 - 策略中
p.obj必须写成路径模板形式，如/api/users/:id，不能写/api/users/123
漏掉任意一环，Enforce() 都会返回 false。
app.Use() 挂 Casbin 中间件时路径前缀怎么写
app.Use() 是前缀级中间件挂载，对所有 HTTP 方法生效，但它不注册路由，只拦截 —— 所以路径前缀必须和你要保护的路由前缀一致，且不能多写一层。
- 想保护全部
/api/...接口：用app.Use("/api", casbinMiddleware)，不是app.Use("/api/", ...)或app.Use("/api/*", ...) - 若用
app.Group("/api")创建子路由树，中间件应挂到该 group 上：api := app.Group("/api"); api.Use(casbinMiddleware) - 错误示范：
api.Use("/api/users", ...)→ 实际注册的是/api/api/users，多了一层前缀
中间件挂载点一旦错位，要么完全不触发，要么匹配范围过大（比如误拦 /api-docs）。
