Crear evaluador de políticas en middleware

Middleware que intercepte acceso a recursos protegidos (API, app, acción).

Evaluar en orden: políticas directas, luego heredadas desde grupo/org.

Aplicar la más restrictiva, salvo override.