关于多种身份下 RESTful 鉴权问题 [ 2.0 版本 ]

目前情况是有两种用户身份，即：商户、用户

商户表中有 access_token 字段、用户表中也有。 有些控制器也是 商户和用户共同使用的。
商户和用户在请求接口的时候都需要鉴权验证 access-token，使用的是 AccessControl
这种情况下怎么配置？

求大佬指点迷津。