Независимо от того, как вы устанавливаете роли и разрешения на данные для департаментов, SQL-запрос всегда использует OR {}.dept_id = 0. Не является ли это результатом отсутствия передачи данных для permission:null?