Замечено на практике (не точно):
Если одной роли пользователя назначить два permision-а, которым назначены разные правила, но один и тот же маршрут, то при автоматической проверки доступа к данному маршруту, будут вызываться все назначенные пользователю permision-ы и выполняться их правила, и если одно выполнится отрицательно, то доступа не будет/