目前主流的RAG访问控制方案可归为三种路线：代理令牌（On-behalf-of tokens）、实时ACL重查（Live ACL re-checks）与父级细粒度授权（Parent-level fine-grained authorization）。