авторизация c ролями и токенами в postgresql

[Trippal]

Добрый день, вечер, ночь!
Подскажите, пожалуйста, как правильно делается авторизация, при том имелась возможность разделение на роли(управляющие - все запросы, обычные пользователи только GET). К тому же система авторизация должна быть умеренно защищенная. Думаю про использование токенов.
Использую Рест на ноде(loopback) и postgresql как бд для информации.
Сам смысл, а не код.
Кто должен отвечать за хранение и ролевые части?
Как теоретически происходит дальнейшая работа: как, например, добавить запись в бд используя роль юзера?