我应该抛出异常来表明没有访问权吗？

Question

我有一项为用户生成数字文档的服务。我创建了一个支付系统，用户可以使用它来购买生成数字文档的访问权限（等等）。

如果用户尝试生成数字文档但没有访问权限，我是否应该抛出异常（未经检查或已检查？）或者最好返回一个可选对象，其中值不存在意味着用户无权访问？

此代码位于我的应用程序的服务层中。我不确定在这做什么。我将此服务公开为RESTful服务，因此我只能假设它将由用户无权访问的客户端调用。在WEB层中，我正在拦截这个，并且我创建了一个我回复的错误资源。