К слову, я такой механизм не использую. Я просто проверяю права. Или у пользователя есть права на что-то, или их нет.