Como você projeta autorização para um sistema em que as permissões variam por time, recurso e plano?

Separe autenticação de autorização, depois escolha um modelo: controle de acesso baseado em papéis é simples e funciona quando as permissões se agrupam em um punhado de papéis, enquanto regras baseadas em atributos servem para condições sobre o recurso, como dono, time ou plano. Aplique tudo num único lugar, idealmente uma camada de política que os handlers chamam, mantenha as checagens perto dos dados para que uma query não vaze linhas, e registre cada decisão para auditoria.

Autenticação responde quem você é e acontece uma vez na borda; autorização responde o que você pode fazer e acontece a cada requisição contra um recurso específico. Como modelo, eu começo por papéis porque são fáceis de raciocinar e fáceis de explicar para o suporte, depois adiciono condições de atributo onde papéis sozinhos não dão conta, coisas como: este usuário está no plano que inclui exportações, ou este registro pertence ao time dele. O que importa mais do que o modelo é que exista exatamente um lugar que decide. Eu quero uma função de política por tipo de recurso que os handlers chamam, negando por padrão, para que adicionar um endpoint novo que esqueça a checagem seja uma omissão visível e não um buraco silencioso. Em qualquer coisa multi-tenant eu também empurro o filtro de tenant para a camada de dados, para que uma query fisicamente não consiga retornar linhas de outro tenant, porque contar com todo desenvolvedor lembrando de uma cláusula where falha mais cedo ou mais tarde. E toda decisão é registrada com sujeito, recurso e resultado, já que a primeira pergunta em qualquer incidente é quem podia ver o quê.