PERM 元模型把 Policy、Effect、Request、Matchers 四块拼图抽象出来，让一份配置文件就能撑起 ACL、RBAC、ABAC 各种授权花样。Casbin 是这套理论的工程化身，本文用 Go 例子拆开讲它怎么工作，顺便和 OPA 比一比。

讲清楚 workload identity 是什么、为什么它比长期凭证更靠谱，以及在 Kubernetes 和云平台里如何落地。