Papéis e permissões
Papéis autorais, por que a permissão é perguntada ao banco e o que uma revogação garante de fato.
Papéis são seus
A plataforma traz papéis padrão, mas a sua organização pode criar os próprios, combinando as permissões que fizerem sentido para a sua estrutura. Um papel que só lê privacidade, um que administra fornecedores sem tocar em cobrança, um que revisa documentos e nada mais.
A pergunta é o que você pode, não como você se chama
Internamente, a plataforma nunca decide comparando o nome do papel. Ela pergunta se aquele usuário tem aquela permissão, e a resposta vem do banco de dados.
A diferença não é sutil. Comparar nome funcionava enquanto todas as organizações tinham os mesmos três papéis, e para de funcionar no instante em que um cliente cria o próprio. Um papel que detém a permissão de administrar a organização é um administrador em todo sentido que importa — e uma comparação por nome o recusaria por não estar escrito "admin".
Duas camadas, não uma
A verificação na aplicação e a política de isolamento no banco consultam a mesma fonte, de propósito: assim uma tela e uma consulta não podem discordar sobre o mesmo usuário.
São camadas com funções distintas. A do banco é a que garante o isolamento — grossa e inescapável. A da aplicação é a que dá expressividade, permitindo permissões finas por ação. A primeira é a segurança; a segunda é a precisão.
Efeito de uma mudança
Alterar o papel de alguém vale na ação seguinte, porque a permissão é consultada no momento do uso e não guardada na sessão. Não é preciso pedir que a pessoa saia e entre de novo.