Function role_can_hold_scope 

pub(crate) fn role_can_hold_scope(role: &UserRole, scope: TokenScope) -> bool

令牌持有人的当前角色是否仍允许持有该作用域的令牌。

与签发规则一致：只有管理员能签发令牌（任意作用域），被封禁的用户不能 持有任何令牌。账号被封禁或降级后，名下令牌在下一次请求时即失效， 不需要逐个手工吊销。