禁止为某些用户角色保存某些实体

Question

我有3个角色：ADMIN, USER, SUPPORT.

我有5个实体：Report, Log, Message, Audit, and Book.

我需要不允许具有SUPPORT的用户保存Audit和Report。例如，具有SUPPORT角色的用户将获得Message对象，并且该对象包含Audit对象。如果他尝试保存此消息（并进行审核），则必须得到类似“权限不足，无法保存” 之类的错误。

有一些实现方法吗？