可以试试用hook_entity_load或hook_entity_view来进行自定义权限控制

或者具体到commerce_order，就是

mymodule_commerce_order_load($orders)

mymodule_commerce_order_view($order, $view_mode)

在其中检查order的关联字段，不匹配当前用户的时候可以粗暴点直接返回 drupal_access_denied() ...