ACL: add accessTo check