在Koa2中，大型项目ACL层是怎么设计的？

场景：商家后台管理系统，部分宣传页不需要登录可访问。后台所有功能都需要登录访问，每个用户可以管理多个店铺，所以在登录完了之后要选择管理的店铺，选择完才能进行操作，某些功能是收费的，进入收费功能还要判断用户是否购买。

我想要的访问控制层对业务开发方来说是尽可能的简单，只需要几个配置就可以搞定。