Web 開発プロセス中にいくつかのセキュリティ認証の問題に遭遇しました。友人にアドバイスを求めたいと思います。

質問リスト:

1. バックエンド開発では、認可ロジックとビジネスロジックは分離されていますか? 認可ロジックはどのように構成されていますか?

2. MVC アーキテクチャの Web アプリケーションでは、ビュー部分で列のメニュー リストを表示する必要があり、ユーザーの役割/権限に応じてメニュー リストの内容も異なります。通常のユーザーと有料ユーザー。このようなシナリオにどう対処すればよいでしょうか?
+1) バックエンド ロジックが処理された後、データはビュー テンプレートに渡され、レンダリングのために走査されますか?
+2) バックエンドは基本データを返し、それをビュー内で動的に処理し、メニュー項目を動的に生成しますか?

3. フロントエンドとバックエンドが分離されている場合、バックエンドは API とフロントエンドの vuejs を担当します。質問 2 の問題に対処するにはどうすればよいですか?

4. Zhihu、Douban、segmentfault などのサイトのセキュリティ認証はどのように設計されていますか?
2 つの異なる認証スキーム acl と rbac が同時に使用されていますか?どのようなシナリオがありますか?