backend: DB migration created_by/updated_by + 統合 IT + AuthZ test 更新 (N4 / B-3)

[win2cot]

B-2 (#278) で実装した GET /api/tasks/{id} を tasks テーブルに created_by/updated_by 列追加 と クロステナント分離の統合 IT で本番運用可能なレベルに固める。並行して 既存 TaskAuthorizationDomainServiceTest を ADR-0005 仕様(admin bypass の正確化) に更新する。

N4 (#86) を 7 分割した B-3 スコープ:

• A-1 (backend: feature 内クリーンアーキ 4 層パッケージ雛形 + shared Open module 新設 (N4 / A-1) #86) / A-2 (backend: 既存クラス(Controller / Repository / Entity)を 4 層パッケージへ移動 (N4 / A-2) #272) / B-1 (backend: 基盤(shared/exception + Task POJO/JPA Entity 分離 + Repository ポート) (N4 / B-1) #273) / B-2 (backend: GET /api/tasks/{id} 4 層実装(UseCase + Controller + DTO + 例外) (N4 / B-2) #278)
• B-3 (本 Issue): DB migration + 統合 IT + AuthZ test 更新 ~3 ファイル
• C (docs(dev): 新 feature 追加時のテンプレ手順書 docs/dev/feature-template.md 整備 (N4 / C) #274)

規約準拠の前提

規約 / ADR	内容
設計規約 §3.1	Flyway V1.0.0 直接追記運用(#248、Sprint 1 完了まで)
ADR-0005	admin bypass(全テナント横断アクセス)

やること

1. V1.0.0_01__create_tables.sql 更新

• tasks テーブルに created_by BIGINT NULL + updated_by BIGINT NULL 列追加
• スキーマ変更は V1.0.0 直接追記(設計規約 §3.1)
• B-1 で配置した TaskJpaEntity も同 PR で同期(@Column(name = "created_by") private Long createdBy; + 同 updatedBy + @PrePersist / @PreUpdate で SecurityContext から userId 反映 or listener)
• N8 (docs(spec)+impl: 既存usersテーブル記述補正 + ADR-0006 派生スコープ(users 列追加 + JPA + 匿名化 service)(N8) #90) の users 列追加と衝突しないように tasks テーブルのみ追記

2. TaskEntityTest の更新

• TaskJpaEntity コンストラクタ + getter テストに createdBy / updatedBy を追加(canPersistTask 等)

3. TaskCrossTenantIT.java 新規(統合 IT)

• @SpringBootTest + Testcontainers MySQL
• 2 テナント の tasks を seed
• API endpoint GET /api/tasks/{id} を call、tenant 跨ぎアクセスで 404 返却を検証(Visibility 違反と同じ 404 統一)
• 設計書 §9 マルチテナント分離要件に整合

4. TaskAuthorizationDomainServiceTest 更新

既存テストの admin bypass 期待値を ADR-0005 仕様 に整理:

• SaaS Admin (role.isAdmin() == true) は全テナント横断で canView true
• Tenant Admin はテナント内のみ true
• 一般 member は visibility / assignee に従う
• PRIVATE visibility は assignee 本人のみ true(担当者参照 test ケース追加)

実装側 TaskAuthorizationDomainService.java(line 31 if (role.isAdmin()) / line 63 || role.isAdmin())はそのまま、test 期待値のみを ADR-0005 整合に。

やらないこと

• prod ロジック変更 → B-3 では追加なし
• N8 (docs(spec)+impl: 既存usersテーブル記述補正 + ADR-0006 派生スコープ(users 列追加 + JPA + 匿名化 service)(N8) #90) の users テーブル列追加 → N8 で実施

受け入れ条件

• V1.0.0_01__create_tables.sql に tasks.created_by/tasks.updated_by 列追加
• TaskJpaEntity に createdBy/updatedBy field + @PrePersist/@PreUpdate で自動セット
• TaskEntityTest が createdBy/updatedBy 含めて green
• TaskCrossTenantIT で tenant 跨ぎ 404 検証 green(Testcontainers 経由)
• TaskAuthorizationDomainServiceTest の admin bypass / Tenant Admin / 一般 member / PRIVATE 担当者参照 ケースが ADR-0005 整合で green
• ./gradlew :webapi:test green、ApplicationModules.verify() green
• CI green、UT カバレッジ 80%+

参照

• 前提: backend: 基盤(shared/exception + Task POJO/JPA Entity 分離 + Repository ポート) (N4 / B-1) #273 (B-1) / backend: GET /api/tasks/{id} 4 層実装(UseCase + Controller + DTO + 例外) (N4 / B-2) #278 (B-2) merge 済
• 規約: 設計規約 §3.1 / ADR-0005
• 関連 Issue: backend: GET /api/tasks/{id} 4 層実装(UseCase + Controller + DTO + 例外) (N4 / B-2) #278 (blocks 本) / docs(dev): 新 feature 追加時のテンプレ手順書 docs/dev/feature-template.md 整備 (N4 / C) #274 (C、blocked-by 本) / docs(spec)+impl: 既存usersテーブル記述補正 + ADR-0006 派生スコープ(users 列追加 + JPA + 匿名化 service)(N8) #90 (N8、blocked-by backend: 既存クラス(Controller / Repository / Entity)を 4 層パッケージへ移動 (N4 / A-2) #272)
• Sub-tracker: [Phase 1 Sprint 0] scaffold ↔ 設計書 v1.4.x 整合実装(2 週間、2026-06-14 〜 06-27) #121 Phase 1 Sprint 0

[win2cot]

作業サマリ

実施内容

Issue の受け入れ条件を精査した結果、B-2(#278)時点で既に完了していた項目と本 PR で新規追加した項目を以下の通り整理しました。

受け入れ条件	状況
tasks.created_by / tasks.updated_by 列追加(SQL)	✅ B-2 時点で完了(既に NOT NULL + FK あり)
TaskJpaEntity に @CreatedBy / @LastModifiedBy field	✅ B-2 時点で完了(Spring Data Auditing 利用)
TaskEntityTest で createdBy / updatedBy を検証	✅ B-2 時点で完了(timestampsAreSetFromFixedClock テスト内)
TaskAuthorizationDomainServiceTest の ADR-0005 整合	✅ 変更不要 — 実装側(TaskAuthorizationDomainService)には isAdmin() バイパスが既になく、全 visibility / 担当者参照ケースが網羅済み
TaskCrossTenantIT 新規追加	✅ 本 PR #299 で追加

TaskCrossTenantIT の設計

@SpringBootTest + @AutoConfigureMockMvc + Testcontainers MySQL

• crossTenantAccess_returns404: ユーザーをテナントAのメンバーとして登録し、テナントBのタスクIDを GET /api/tasks/{id} に渡す → TenantContextFilter がテナントAの TenantContext を設定 → TenantAwareJpaTransactionManager が Hibernate Filter tenant_id = tenantAId を有効化 → テナントBのタスクが見えない → TaskNotFoundException → 404
• sameTenantAccess_returns200: 同一テナント内のタスクは正常 200 を返すことを確認(テナント分離の陰性確認)

セットアップ方式

@Transactional ではなく TransactionTemplate.execute() でデータを commit し、MockMvc リクエストの別トランザクションから参照可能にしている。@AfterEach で native SQL により明示クリーンアップ。

CI 確認

./gradlew :webapi:check green ✅

PR: #299