casbin.enforce() 返回 (bool, error) 两个值，需显式接收并检查 error；用户名应从 jwt/session 等实际认证方式提取；model.conf 与 policy 数据结构须严格匹配 rbac 语义；动态更新 policy 后必须调用 loadpolicy() 或使用 syncedenforcer。
casbin.Enforce() 返回两个值，直接赋给单个变量会编译失败
这是 Iris + Casbin 集成中最常踩的坑：官方示例或旧版中间件里写 c.enforcer.Enforce(username, path, method)，但新版 casbin.Enforce() 返回 (bool, error) 两个值。只接一个会导致编译报错：multiple-value c.enforcer.Enforce() in single-value context。
正确做法是显式接收两个返回值，并检查 error：
b, err := c.enforcer.Enforce(username, path, method)
if err != nil {
// 记录日志，比如 log.Printf("casbin enforce error: %v", err)
return false
}
return b
- 别忽略
err—— 比如 model 语法错误、policy 存储层不可达时，Enforce()会返回非 nil 错误，此时不处理会导致权限判断永远为 false - 如果你用的是
github.com/iris-contrib/middleware/casbin，它已多年未维护，建议直接弃用，自己写几行中间件逻辑更可控
用户名从哪来？BasicAuth 不是你唯一的选项
很多示例默认依赖 Username(r) 从 BasicAuth 头里取用户，但真实项目中你大概率用 JWT、Session 或 OAuth2。硬套 BasicAuth 会导致 username 为空，所有 Enforce() 判断都失败。
你需要在中间件里自行提取用户名，例如：
- JWT 场景：解析
r.Header.Get("Authorization")中的 token，验签后从 payload 取sub或user_id - Session 场景：从
ctx.Session().GetString("user_id")（假设你用github.com/kataras/iris/v12/sessions） - 统一建议：把用户名提取逻辑封装成函数，比如
getUsernameFromRequest(r *http.Request) string，便于测试和替换
model.conf 和 policy 数据源必须匹配 RBAC 模型语义
RBAC 不是开箱即用的魔法，rbac_model.conf 的定义必须和你的 policy 数据结构对齐，否则 Enforce() 总是返回 false。
典型 rbac_model.conf（RBAC with resource roles）应包含：
[request_definition] r = sub, obj, act [policy_definition] p = sub, obj, act [role_definition] g = _, _ [policy_effect] e = some(where (p.eft == allow)) [matchers] m = g(r.sub, p.sub) && r.obj == p.obj && r.act == p.act
-
g = _, _表示支持角色继承（如 user → role → admin），缺了这行，g, r.sub, r.role这类策略不会生效 - policy 数据若走数据库（如 GORM Adapter），表结构必须含
p_type、v0（sub）、v1（obj）、v2（act）字段；CSV 示例里必须严格三列，不能多空格或注释行干扰 - 调试技巧：启动时加
enforcer.EnableLog(true)，看日志里是否打印出 matcher 匹配过程
动态 policy 更新后 enforcer 必须重新加载
很多人把 policy 存数据库，改完权限却没生效——因为 Enforcer 初始化后不会自动监听变化。调用 enforcer.LoadPolicy() 是必须的，但时机很关键。
- 简单场景：每次权限变更后手动触发一次
enforcer.LoadPolicy()（注意并发安全，建议加锁或用enforcer.LoadFilteredPolicy()增量更新） - 高频变更场景：用
casbin.NewSyncedEnforcer()替代NewEnforcer()，配合适配器的SetWatcher()接口（如gormadapter.SetWatcher()）实现自动同步 - 切记：不要在每个 HTTP 请求里反复调用
LoadPolicy()，性能灾难
RBAC 的真正复杂点不在模型配置，而在于 policy 数据的生命周期管理——谁改、何时刷、刷错怎么回滚、灰度怎么切，这些在代码里都不会自动帮你做。
