权限校验失败必须调用c.abort()而非仅return，casbin需解耦模型与策略、关闭日志、热加载策略，jwt角色须透传至上下文，权限决策需opentelemetry埋点与prometheus监控。
中间件里调用 c.Next() 后 return 仍会执行 handler
这是最常踩的坑：权限校验失败后只 return，没调用 c.Abort()，导致后续业务逻辑照常运行，用户可能绕过检查拿到敏感数据。
正确做法是校验不通过时立刻 c.Abort()，并设状态码和响应体。Gin 的中间件链是“洋葱模型”，c.Abort() 会跳过所有剩余中间件和最终 handler；而仅 return 只是退出当前中间件函数，控制权还会回到上一层中间件或 handler。
- 必须在拒绝路径中调用
c.Abort()，不能只写return - 推荐统一返回
c.JSON(403, map[string]string{"error": "insufficient_scope"})，与 OAuth2 RFC 6749 对齐 - 如果用了
c.Set("user", user)注入用户信息，也要确保拒绝时不设该 key，避免下游误读
Casbin 策略热加载失效或日志打爆 QPS
开发时直接用 casbin.NewEnforcer("model.conf", "policy.csv") 看似简单，但上线后策略变更要重启服务，且默认日志每秒输出数百行 debug 信息，压测时 CPU 直接飙满。
关键不是“能不能用 Casbin”，而是怎么用对——模型和策略必须解耦，适配器必须持久化，日志必须关掉。
- 策略存储必须用
gorm-adapter或redis-adapter，禁用文件型适配器（重启即丢） - 务必在初始化后调用
e.EnableLog(false)，否则enforce()调用会拖垮吞吐 - 热加载靠
e.LoadPolicy()+ 定时轮询或监听配置中心变更，别依赖手动 reload - 模型文件里优先选
[request_definition] r = sub, dom, obj, act，支持多租户隔离，比纯 RBAC 更贴近微服务场景
JWT 解析后角色信息没透传到 Casbin 校验上下文
很多实现把 JWT 验证和 Casbin 授权拆成两个中间件，但没把 role、tenant_id、resource_path 这些关键字段从 JWT claims 写进 c.Request.Context()，导致 Casbin 拿不到完整三元组，只能硬编码 fallback 逻辑。
Auth 中间件和 Authz 中间件之间必须有明确的数据契约，不能靠“我猜你有”。
- JWT 中间件解析完后，用
c.Set("roles", roles)和c.Set("domain", tenantID)显式注入 - Casbin 中间件里用
roles, _ := c.Get("roles")读取，别再查 DB 或重解析 token -
enforce()的第一个参数应为roles.([]string)，第二个为c.Request.URL.Path，第三个为c.Request.Method，顺序错会导致匹配失败 - 路径匹配注意通配符：Casbin 默认不自动展开
/api/v1/orders/*，需在 model.conf 里启用keyMatch2函数或预处理路径
权限决策埋点缺失导致线上问题无法定位
权限拒绝不是 panic，是正常业务流，但没埋点就等于盲区：你不知道是策略漏配、租户隔离失效，还是前端传错了 method，只能靠日志 grep 猜。
OpenTelemetry 不是锦上添花，是生产环境的必需品——尤其当策略跨多个微服务动态组装时。
- 在 Casbin 中间件里用
otel.Tracer("authz").Start(ctx, "casbin.enforce")包裹e.Enforce() - Span attributes 至少包含：
authz.result（true/false）、authz.policy_id（如"rbac-domains-v3"）、authz.duration_ms - 上报 Prometheus counter：
authz_decision_total{result="deny",reason="missing_role"}，方便 Grafana 做拒绝归因分析 - 别把 trace ID 打在 error log 里就以为够了——要能反查“这个 deny 是由哪条策略规则触发的”，这需要 Casbin 的
GetImplicitPermissionsForUser()配合审计日志
enforce()”，而是策略加载时机、上下文透传边界、拒绝路径的可观测性这三个点。任何一个没对齐，都会让权限系统变成黑盒。
