Джейсон ответил в скайп по этому поводу:
your are absolutely correct about the permissions...we need a way to query it rather than depend on checks at hydration time...can you enter a tracker ticket where we can start a discussion on implementation to share publicly?
Будем обсуждать, развивать. Наверняка появятся какие-то новые полезные методы в самом xPDO.