Все права, кроме разрешений сформулированных разработчиком, проверяются на уровне базы данных. Разрешения разработчика могут проверяться в том числе и на уровне клиента или сервера приложений.

После авторизации пользователя в момент инициализации сессии весь набор его прав сохраняется в контексте базы данных. Проверить его можно с помощью пакета PACK_AUTH.