我想了一个办法，不知道用起来怎么样

首先将默认权限的 policy 主体设为 default

然后 matcher 里对角色的匹配从

g (r.user, p.user)

改为

(g (r.user, p.user) || p.user == 'default')