ACL a konkrétní identifikace zdroje

Prosím o radu v následující problematice:

Mám v databázi definované ACL, které mi řeší přístupová práva k jednotlivým částem systému – např.

1. admin může vše
2. partner může měnit informace ke všem svým projektům, projektů může mít několik
3. uživatel může na projektu dělat omezené množství akcí

Nyní ale řeším problém, že potřebuji omezit užviatele tak, aby v rámci jednoho projektu mohl např. číst i editovat, ale v rámci jiného jen číst.

Tím jsem se dostal do situace, kdy mi (za předpokladu že nebudu používat dvojici „projekt-zdroj“ jako „zdroj“) standardní role-resource-privilege nestačí.

Jak jste tuhle problematiku řešili, prosím? Ve foru jsem našel jen šikovnější permission od Davida Grudla z roku 2009.