在检索层做权限控制意味着向量库中每个chunk携带访问控制元数据，查询时先按当前用户权限范围过滤，再做向量相似度检索。