backend: TasksJwtAuthenticationConverter にロール抽出を追加 (N6)

[win2cot]

背景

現状 authorities が空 (List.of())。Keycloak realm role の APP_ADMIN および user_tenants の TENANT_ADMIN/MEMBER を抽出する必要あり。

やること

1. JWT.realm_access.roles から APP_ADMIN を抽出 → ROLE_APP_ADMIN
2. user_tenants から currentTenant の role を取得 → ROLE_TENANT_ADMIN / ROLE_MEMBER
3. SecurityConfig に @EnableMethodSecurity 追加

依存

Issue N5 (TenantContext) 完了後に実装。

参照

docs/reviews/2026-05-10-scaffold-vs-design-gap-analysis.md § G-4

[win2cot]

実装完了 → PR #297

対応内容

1. JWT realm_access.roles から APP_ADMIN 抽出 → ROLE_APP_ADMIN

TasksJwtAuthenticationConverter に realmAuthorities() を追加。realm_access.roles に APP_ADMIN が含まれている場合に ROLE_APP_ADMIN を付与する。realm_access クレームがない / roles に APP_ADMIN がない場合は空リストを返す。

2. user_tenants から currentTenant のロール取得 → ROLE_TENANT_ADMIN / ROLE_MEMBER

TenantMembershipPort の isActiveMember(boolean) を廃止し、findActiveRole(Long userId, Long tenantId) → Optional<TenantRole> に一本化。

TenantContextFilter でテナント選択が成功した後、返却された TenantRole（TENANT_ADMIN or MEMBER）を ROLE_TENANT_ADMIN / ROLE_MEMBER として新たな TasksAuthenticationToken に乗せ SecurityContext を更新する。メンバーシップ確認とロール取得が 1 クエリになり、従来の existsBy... との二重アクセスも解消。

3. @EnableMethodSecurity 追加

SecurityConfig に @EnableMethodSecurity を追加。これにより今後のコントローラ・ユースケースで @PreAuthorize("hasRole('MEMBER')") 等が機能する。

ロール付与タイミング

ロール	付与タイミング	ソース
ROLE_APP_ADMIN	JWT 検証時	Keycloak realm_access.roles
ROLE_TENANT_ADMIN / ROLE_MEMBER	テナント選択時（X-Tenant-Id ヘッダ処理後）	user_tenants テーブル

追加テスト

• TasksJwtAuthenticationConverterTest: APP_ADMIN 抽出・realm_access なし・APP_ADMIN 不在 の 3 ケース追加
• TenantContextFilterTest: @PreAuthorize ゲートを用いて SecurityContext へのロール付与を実証する 2 ケース追加（memberRole_grantsMemberAuthority / tenantAdminRole_grantsTenantAdminAuthority）
• UserTenantMembershipAdapterTest（新規）: Testcontainers 統合テスト — MEMBER / TENANT_ADMIN / DISABLED / INVITED / レコードなし の 5 ケース

CI

./gradlew :webapi:check → BUILD SUCCESSFUL ✅