Можно ли хранить права пользователей в БД?
Нужно. В целом есть несколько вариантов реализации системы прав со своими плюсами, минусами и ньюансами - статей на эту тему в сети много, почитайте и подберите наиболее подходящий вам вариант.
Настоятельно рекомендую уйти от json сериализации (тем более такой в виде массива) и создать табличку, где строки - пользователи (точнее объекты-правообладатели) а колонки - выдаваемые права.

Дополнять такую табличку просто, создавая колонки можно указать дефолтное значение (типа нет прав) и все обновится автоматически.

В будущем же это неплохо модифицируется до многоуровневой системы Пользователь, их Группы, Объекты и Роли (как набор прав за ними стоящими) через вьюхи и триггеры. Но лучше сесть подумать и сделать сразу как надо, такие вещи менять потом больно.