Ну у меня graphql, я себе возвращаю сущность me, там залогированый юзер с пермисиями
Если у вас сложные пермишины типа ACL или RBAC то лучше создать отдельно класс что будет ими управлять или найти готовое решение, если просто админ/не админ, то бери ключ из Глобал стейта, проверяй и показывай/не показывай. Изи.