虽然我了解有关对API的用户进行身份验证/授权的角色和主张，但是我在安全设计的某些方面仍处于挣扎中。
我的API为一家拥有多个办事处的公司处理计划和项目管理。假设我要使用用户角色进行身份验证，那么我会遇到一个冲突，即我可能只希望那个角色并在正确办公室中的用户使用该api函数。
我目前编写了一个非常手动的身份验证过程，该过程似乎无法维护。我认为一种选择是使用子域名，例如office.mysite.com，但这不能解决我的所有问题。
另一个例子是调度。可以允许角色A为角色B创建计划的分配，但不能为角色C创建计划的分配。而且管理此方面也非常困难。
对于这些情况，是否有经过验证的设计概念？有什么想法吗？
谢谢！