Ich bin hier kein Experte, aber ich denke, du möchtest den Zugriff auf der Publish-Seite steuern, wo du Dinge an den Bus sendest, und nicht auf der Watch-Seite.
Wir arbeiten gerade an der Umstellung einer unserer Apps und ersetzen Action Cable durch Message Bus. Unser bisheriges Muster bestand darin, beim Abonnieren die Berechtigungen zu prüfen, aber jetzt denke ich, dass wir Message Bus so verwenden können, wie es vorgesehen ist. Also sind wir auf der sicheren Seite. Übrigens ist Message Bus sehr gut umgesetzt.