FirstName LastName

В сущности первый пост уже открыл. Что же до деталей: юзай примерно такой состав бандлов симвони
1) https://github.com/nelmio/NelmioApiDocBundle для документирования своего REST API
2) https://github.com/FriendsOfSymfony/FOSRestBundle для реализации самого апи
3) https://github.com/FriendsOfSymfony/FOSUserBundle это штучка для авторизации и связки с оаус2 подходом
Детали связки с oauth2 службой и ее реализация хорошо описана здесь m2mdas.github.io/blog/2013/11/21/integrate-hwioaut...

В сущности на фреймворк возлагаются штатные задачи: сделать что-то, что требуется со стороны клиента (в данном случае это AngularJS) и сделать это (выборка, апдейд, удаление и тдтп), полагаясь на соответствующие права.

Однако вполне логично методы проверки свойств объекта упрятать в сам объект и проверку проводить соответствующим методом. Мне нравится для этого использовать такой паттерн

есть свойство скажем referalUserId
Объект класса правильный, если скажем этот самый referalUserId содержится/не содержится с какой-либо табличке какой-то базы данных - все проверки делаем в методе класса

public function isReferalUserIdLegal(){
// наш проверяющий на валидность код
return true/false в зависимости от итогов проверки
}

ну а в валидаторе.yml указуем на класс и метод чека
# src/Acme/MyBundle/Resources/config/validation.yml
Acme\MyBundle\Entity\Myclass:
getters:
ReferalUserIdLegal:
- "True": { message: "Реферал может быть только очень реферальным!" }

Вуаля