ロール × 画面 権限マトリクス整理(visibility / 404・403 ポリシー反映)

[win2cot]

概要

3 ロール(SaaS Admin / Tenant Admin / Member)× タスク visibility(TENANT / STAKEHOLDERS / PRIVATE)× 画面・操作 の組み合わせで、誰が何を見て / 編集できるかを一枚の表に落とす。404 / 403 応答ポリシーも同じ表で表現する。

背景

• 設計規約・基本設計書では認可違反応答が GET=404 / 編集系=403 と規定されている
• 画面側ではこのポリシーを「リンクの非表示」「ボタンの disabled」「画面アクセス時の挙動」として翻訳する必要がある
• 認可ロジックの正本は API 側(設計規約 §認可応答)。画面はそのミラー

成果物

• docs/specs/ui/access-matrix.md
  • ロール × 画面アクセス可否(参照 / 編集 / 削除)
  • visibility による行レベル可視性のサブ表
  • 404 / 403 / 401 が出る具体的なシナリオ列挙

完了の定義

• docs/specs/ui/access-matrix.md を PR で追加、マージ済み
• コア 4 画面すべてが表に存在
• 「Tenant Admin が他人の PRIVATE タスクにアクセスした際の応答」など、認可境界の代表シナリオを少なくとも 5 ケース明文化
• 設計規約・基本設計書 §6.2.2 / §6.2.3 と矛盾しないことを本文末尾で言及

関連

• 親:[Sprint 0] 画面設計 初版(Claude Design 活用) #149
• docs/specs/設計規約.md(認可応答節)
• docs/specs/基本設計書.md §6.2.2 / §6.2.3