实施基于角色的安全性的最佳实践

Question

我正在寻找一些建议/最佳实践来实施基于角色的安全性。 我正在使用 asp.net 核心 6 构建 API，它将使用 Azure AD 进行身份验证。 我的一个端点将返回一个项目列表。 我有以下我希望实现的角色。

1. 用户可以在一个位置获取所有项目。

2. 用户可以获得所有位置的项目。

3. 用户可以获得他们被授予直接访问权限的项目。

我相信我可以对角色 1 和 2 使用基于角色的授权，但是，我不确定管理角色 1 的最有效方法，因为任何用户都可以属于多个位置。

对于角色 3，我相信我需要维护一个用户权限表以允许在项目级别进行访问。

任何关于我如何实现上述内容的想法都将不胜感激。