How It Works
在 Casbin 中，访问控制以基于 PERM 元模型（Policy、Effect、Request、Matchers） 的 CONF 文件来表达。要改变项目中的授权方式，只需编辑一个配置文件。可以组合各个组件构建自定义模型，例如在同一个模型和策略集中同时使用 RBAC 角色和 ABAC 属性。
PERM 模型有四个部分：Request、Policy、Effect 和 Matchers。它们共同定义用户和资源如何交互。
Request
请求定义规定了访问请求的参数。基本的请求是一个三元组：主体（谁在请求）、对象（资源）和 操作（要做什么）。
示例：
r = sub, obj, act
这设定了匹配逻辑所用的参数名及其顺序。
Policy
策略定义描述了访问规则的结构：字段名和顺序。
示例：
p = sub, obj, act 或 p = sub, obj, act, eft
如果定义中省略了 eft（策略效果），策略文件中的效果字段会被忽略，匹配的策略一律视为“允许”。
Matcher
匹配器定义请求如何与策略匹配。
示例：m = r.sub == p.sub && r.act == p.act && r.obj == p.obj
当请求的主体、对象和操作与某条策略的字段匹配时，就采用这条策略的效果（p.eft）。效果保存在 p.eft 中。
Effect
效果部分用一个逻辑表达式合并所有匹配策略的效果。
示例：e = some(where (p.eft == allow))
只要有一条匹配的策略效果为“allow”，结果就是允许。
另一个例子：
e = some(where (p.eft == allow)) && !some(where (p.eft == deny))
这表示：只有至少一条策略允许、且没有策略拒绝时，结果 才是允许。允许和拒绝同时匹配时，拒绝优先。
ACL 是 Casbin 中最简单的模型。下面是一个最小的 ACL 模型：
# Request definition
[request_definition]
r = sub, obj, act
# Policy definition
[policy_definition]
p = sub, obj, act
# Policy effect
[policy_effect]
e = some(where (p.eft == allow))
# Matchers
[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act
这个模型的策略示例：
p, alice, data1, read
p, bob, data2, write
因此：
- alice 可以读取 data1
- bob 可以写入 data2
可以在每行末尾加上 \，把匹配器拆成多行：
# Matchers
[matchers]
m = r.sub == p.sub && r.obj == p.obj \
&& r.act == p.act
Go 实现中可以使用 in 运算符（jCasbin 和 Node-Casbin 暂不支 持）：
# Matchers
[matchers]
m = r.obj == p.obj && r.act == p.act || r.obj in ('data2', 'data3')
数组必须包含多于一个元素，否则 Go 实现可能会 panic。
更多运算符见 govaluate。