SPA или MPA, Laravel + Vue.js?
Это как с RISC архитектурой ...
Если вы можете разделить систему на частично независимые процессы - делайте MPA
Если сложность процессов достигает некого абстрактного потолка понимания - разбивайте, те MPA
SPA  - это когда одни и те же данные вы хотите показать с разных сторон.
SPA приложение делаете отдельно.  И оно с Laravel или Lumen будет обмениваться через api. Весь контроль доступа будет проверяться на стороне бэкэнда.  Middleware же не зря придумали. Да можно разграничивать доступы  на уровне токенов..