Добрый день!
Подскажите плиз, как происходит выполнение запроса:
сначала выбираются все разрешенные элементы, а потом производится разыменовывание их полей;
или же изначально выбираются все поля, а уже потом определяется, попадет запись в выборку разрешенных или нет?

Разрешенные - это секция "ГДЕ", которая может работать в двух вариантах. Так что, профайлер в руки :)