casbin权限失效主因是rbac_model.conf与rbac_policy.csv未对齐：bom头、空行/注释、参数顺序错均致enforce()恒false；需用keymatch2支持路径通配，命名策略操作保障热更新一致性。
直接上结论：别手写 RBAC 核心逻辑，用 casbin；但必须亲手配对 rbac_model.conf 和 rbac_policy.csv，否则 90% 的权限失效问题都出在这两行配置上。
为什么 casbin.NewEnforcer() 初始化后 e.Enforce() 总是返回 false
这不是代码写错了，而是模型与策略没对齐。常见原因有三个：
-
rbac_model.conf文件用了 Windows 记事本保存，带 BOM 头——casbin解析失败且不报错，静默跳过整个文件 -
rbac_policy.csv里有空行或#开头的注释行——casbin把它当无效策略丢弃，也不提示 -
[request_definition]定义为r = sub, obj, act，但调用时写了e.Enforce("/api/users/123", "alice", "GET")，参数顺序错一位就 panic 或恒 false
验证方法：加一行 fmt.Println(e.GetPolicy())，输出为空说明模型/策略根本没加载成功。
如何让 /api/v1/users/123 匹配策略里的 /api/v1/users/*
默认字符串全等匹配（r.obj == p.obj）完全不支持通配符。必须显式启用路径匹配函数：
- 在
rbac_model.conf的[matchers]段写：matcher = eval(keyMatch2(r.obj, p.obj)) - 确保用的是
github.com/casbin/casbin/v2或更高版本（v1不含keyMatch2） - 策略文件中写：
p, admin, /api/v1/users/*, GET，不是/api/v1/users/123
注意：keyMatch2 只处理 *，不支持 ** 或正则；要更灵活得换 keyMatch3 或自定义函数。
线上改权限后，老请求还 403，新请求却生效了
这是缓存和热更新不同步导致的典型“窗口期”问题。直接调 e.AddPolicy() 只写内存，不刷新缓存；而 e.LoadPolicy() 会清空全量策略再重载，高并发下可能短暂丢失所有权限。
- 正确做法是用命名策略操作：
e.AddNamedPolicy("p", "alice", "/data", "read") - 删策略也一样：
e.RemoveNamedPolicy("p", "alice", "/data", "write") - 它们只修改指定策略行，不 reload 全量，也不污染缓存
真正难的不是第一次跑通 e.Enforce()，而是确保每次策略变更后，所有 goroutine 看到的都是同一份最新视图——这正是 casbin 内置锁和原子操作要解决的，别绕开它自己搞 map + sync.RWMutex。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
