我想了一个办法，不知道用起来怎么样

首先将默认权限的 policy 主体设为 default

然后 matcher 里对角色的匹配从

g (r.user, p.user)

改为

(g (r.user, p.user) || p.user == 'default')

@hsluoyz 我也遇到了同样的问题，但是按你这样做的话，是不是我需要独立于 casbin 之外，自己去管理和判断哪些用户改过权限，哪些没改过？