Подход к авторизации на основе групп/правил в node.js и express.js

Какие есть хорошие стратегии для ролевой авторизации в express.js? Особенно в express-resource?

В Express-resource нет обработчиков, поэтому я думаю есть три варианта:

1. Использовать промежуточное ПО
2. Передать функцию авторизации ресурсу и проверять каждый запрос ресурса отдельно
3. Проверять авторизацию при каждом запросе сразу после аутентификации

Есть ли другие решения?

Групповая/ролевая авторизация - довольно древний подход. Существуют ли более новые методы контроля доступа? Если нет, то как можно применить авторизацию на основе ролей в node.js? Где хранить отношения "группа-роль" (с NoSQL/CouchDB/Redis)?

В качестве примера, структура:

/
  /forums
    /forums/threads

Каждый ресурс с индексом, новый, создать, показать, редактировать обновить и уничтожить. Некоторые люди могут редактировать/удалять и т.д. темы и форумы, некоторые не должны.