实践中不少团队会组合使用三种RAG访问控制方法：用父级授权做粗粒度兜底，用实时重查处理动态变更，用代理令牌打通身份链路。