2. Go语言权限验证生态：标准库、第三方库（casbin、keto、opa）选型分析

Go语言生态中权限验证的实现路径主要分为三类：标准库提供的底层原语、面向特定模型的专用库（如Casbin）、以及通用策略引擎（如Keto、OPA）。本章从架构视角对这三类方案进行系统性对比，帮助你在不同业务场景下做出合理选型。

2.1 标准库：net/http与crypto/subtle

Go标准库本身不提供完整的权限验证框架，但提供了构建自定义验证系统的核心组件：

// 标准库实现的最小权限中间件示例
func RequireRole(role string) func(http.Handler) http.Handler {
    return func(next http.Handler) http.Handler {
        return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
            userRole := r.Context().Value("role").(string)
            if userRole != role {
                http.Error(w, "Forbidden", http.StatusForbidden)
                return
            }
            next.ServeHTTP(w, r)
        })
    }
}

2.2 Casbin：基于访问控制模型的策略引擎

Casbin是目前Go社区使用最广泛的权限库，核心设计理念是将访问控制模型（Model）与策略（Policy）分离。它支持ACL、RBAC、ABAC、RESTful等多种模型。

// Casbin模型定义示例 (model.conf)
[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

// Go代码集成Casbin
import "github.com/casbin/casbin/v2"

e, _ := casbin.NewEnforcer("model.conf", "policy.csv")
// 检查权限
allowed, _ := e.Enforce("alice", "data1", "read")

2.3 Keto：基于Google Zanzibar的全局授权系统

Keto是ORY生态的授权服务，实现了Google Zanzibar论文中的关系元组（Relationship Tuple）模型。它将权限建模为“用户-关系-对象”的三元组，支持细粒度的、跨服务的全局授权。

2.4 OPA：通用策略引擎与Rego语言

OPA（Open Policy Agent）将策略决策与业务逻辑完全解耦，使用声明式语言Rego编写策略。它不局限于权限验证，还可用于配置校验、数据过滤、基础设施策略等场景。

// Rego策略示例：允许管理员读取所有数据，普通用户只能读自己的
package authz

default allow = false

allow {
    input.role == "admin"
    input.action == "read"
}

allow {
    input.role == "user"
    input.action == "read"
    input.resource.owner == input.user
}

2.5 选型决策矩阵

以下矩阵从六个关键维度对比三类方案，帮助你快速定位最适合当前项目的选择：