Как реализовать ситуацию, когда доступ к ресурсу есть у всех пользователей определённой роли, но часть данных должна быть скрыта или замаскирована, например зарплаты?

Проверяйте доступ к отдельным полям на сервере и формируйте ответ уже без запрещённых данных; скрытие в интерфейсе недостаточно.

Роль может давать доступ к ресурсу, а отдельное permission или атрибут — к зарплате. В serializer применяйте allowlist полей, при необходимости возвращайте безопасную маску. Те же ограничения нужны для экспорта, поиска, логов и кеша, чтобы полные данные не утекли через другой путь.