Comment l'utiliser :
Query.withAbility(req.ability, action)Limite la query aux possibilités de lecture de la ressource, retire les champs interdits au toJson. à utiliser sur toutes les requetes.
Par défaut l'action est read, pour les autre type d'opération il faut préciser si on veut update, delete...
Model.createWithAbility(data, req.ability)Créé en vérifiant l'authorisation de créer et retire les champs interdits.
Document.setWithAbility(data, req.ability)Set en vérifiant l'authorisation d'update et retire les champs interdits. (pareil que Document.set)
Document.removeWithAbility(req.ability)Delete en vérifiant l'authorisation de delete.