# 通知設計書 35-権限エラー

## 概要

本ドキュメントは、InvenTreeモバイルアプリケーションにおける「権限エラー」通知の設計仕様を定義するものです。この通知は、APIフォーム送信時にサーバーからアクセス拒否（HTTP 403）が返却された際にユーザーに表示されるスナックバー通知です。

### 本通知の処理概要

この通知は、ユーザーがフォームデータを送信した際、サーバー側で権限不足によりアクセスが拒否され、HTTP 403ステータスコードが返却された場合にユーザーにフィードバックを提供する機能です。

**業務上の目的・背景**：InvenTreeはロールベースのアクセス制御（RBAC）を採用しており、ユーザーには各種モデルに対するview/add/change/delete権限が個別に設定されます。この通知により、ユーザーは現在の権限では実行できない操作を試みたことを即座に把握でき、管理者への権限要求など適切な対応を取ることができます。

**通知の送信タイミング**：`APIFormWidgetState._save()` メソッドでフォームをサーバーに送信した後、HTTP 403ステータスコードが返却された場合に通知が発生します。

**通知の受信者**：通知は、アプリでフォーム操作を実行している現在のユーザーに対してのみ表示されます。

**通知内容の概要**：国際化対応されたメッセージ「403: Permission Denied」（または相当するローカライズ文字列）がスナックバーとして画面下部に表示されます。エラーを示すオレンジ色の背景と警告アイコンが付加されます。

**期待されるアクション**：ユーザーは権限が不足していることを理解し、管理者に権限付与を依頼するか、権限のある別のユーザーに操作を委任することが期待されます。

## 通知種別

アプリ内通知（スナックバー）

## 送信仕様

### 基本情報

| 項目 | 内容 |
|-----|------|
| 送信方式 | 同期 |
| 優先度 | 高 |
| リトライ | なし |

### 送信先決定ロジック

アプリの現在アクティブなユーザーに対してのみ表示されます。

## 通知テンプレート

### スナックバー通知の場合

| 項目 | 内容 |
|-----|------|
| 背景色 | オレンジ（Colors.deepOrange） |
| アイコン | TablerIcons.exclamation_circle |
| 表示時間 | 5秒 |
| 閉じるボタン | あり |

### 本文テンプレート

```
403: {L10().response403}
```

実際の表示例（英語）：
```
403: Permission Denied
```

### 添付ファイル

該当なし

## テンプレート変数

| 変数名 | 説明 | データ取得元 | 必須 |
|--------|------|-------------|-----|
| response403 | 権限拒否メッセージ | L10()国際化リソース | Yes |

## 送信トリガー・条件

### トリガー一覧

| トリガー種別 | トリガーイベント | 送信条件 | 説明 |
|------------|----------------|---------|------|
| API応答 | _save() | response.statusCode == 403 | フォーム送信時の権限エラー |

### 送信抑止条件

| 条件 | 説明 |
|-----|------|
| 成功レスポンス | HTTP 200/201の場合は成功通知が表示される |
| 他のエラー | 400/401/404/500等の場合は別のエラー通知が表示される |

## 処理フロー

### 送信フロー

```mermaid
flowchart TD
    A[フォーム入力完了] --> B[保存ボタン押下]
    B --> C[APIリクエスト送信]
    C --> D{ステータスコード確認}
    D -->|200/201| E[成功処理]
    D -->|403| F[showSnackIcon呼び出し]
    D -->|他| G[その他エラー通知]
    F --> H[スナックバー表示]
    H --> I[フォーム維持]
```

## データベース参照・更新仕様

### 参照テーブル一覧

該当なし（クライアントサイドのみの処理）

### 更新テーブル一覧

該当なし（権限エラーのため更新は行われない）

## エラー処理

### エラーケース一覧

| エラー種別 | 発生条件 | 対処方法 |
|----------|---------|---------|
| 権限不足 | ユーザーに操作権限がない | 管理者への権限要求を案内 |
| コンテキスト不在 | Flutterコンテキストが無効 | 通知をスキップ |

### リトライ仕様

| 項目 | 内容 |
|-----|------|
| リトライ回数 | 0（権限付与後に手動再試行） |
| リトライ間隔 | 該当なし |
| リトライ対象エラー | 該当なし |

## 配信設定

### レート制限

| 項目 | 内容 |
|-----|------|
| 1分あたり上限 | 制限なし |
| 1日あたり上限 | 制限なし |

### 配信時間帯

制限なし（24時間対応）

## セキュリティ考慮事項

- 権限エラーの詳細（必要な権限名など）はスナックバーに含まれない
- 認証済みユーザーのみがアプリを使用可能
- 権限情報はサーバー側で厳密に管理される

## 備考

- APIフォーム以外でも403エラーが発生する場合があるが、本通知はフォーム送信時に特化
- 国際化対応により、アプリの言語設定に応じたメッセージが表示される

---

## コードリーディングガイド

本通知を理解するために参照すべきファイルと、推奨する読み解き順序を以下に示す。

### 推奨読解順序

#### Step 1: データ構造を理解する

まず、サーバーの権限管理とクライアントでの権限チェックを理解することが重要。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 1-1 | api.dart | `lib/api.dart` | checkRole()メソッド（行763-807） |
| 1-2 | model.dart | `lib/inventree/model.dart` | canEdit, canCreate, canDelete プロパティ（行221-266） |

**読解のコツ**: roles MAPにはサーバーから取得した権限情報が格納される

#### Step 2: エントリーポイントを理解する

_save()メソッドでのステータスコード403の処理を確認。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 2-1 | api_form.dart | `lib/api_form.dart` | _save()メソッドのcase 403（行1473-1474） |

**主要処理フロー**:
1. **行1437**: _submit()でAPIリクエスト送信
2. **行1444**: switch文でステータスコード分岐
3. **行1473-1474**: ステータスコード403の処理
4. **行1474**: `showSnackIcon("403: " + L10().response403, success: false)`

#### Step 3: 権限チェックの事前確認を理解する

launchApiForm()でのOPTIONSリクエストによる事前チェックを確認。

| 順序 | ファイル | パス | 読解ポイント |
|-----|---------|------|-------------|
| 3-1 | api_form.dart | `lib/api_form.dart` | launchApiForm()（行1018-1035） |

**主要処理フロー**:
- **行1020-1021**: OPTIONSリクエストでフィールド定義取得
- **行1030-1033**: serverFieldsが空の場合、権限なしとしてresponse403を表示

### プログラム呼び出し階層図

```
APIFormWidgetState._save()  [lib/api_form.dart:1384]
    │
    ├─ _submit()  [行1437]
    │      └─ API POST/PATCHリクエスト
    │
    └─ showSnackIcon()  [行1474]
           └─ "403: " + L10().response403

launchApiForm()  [lib/api_form.dart:1001]
    │
    ├─ InvenTreeAPI().options()  [行1020]
    │      └─ OPTIONSリクエストで権限確認
    │
    └─ showSnackIcon()  [行1032]
           └─ L10().response403 (事前チェック時)
```

### データフロー図

```
[入力]                     [処理]                              [出力]

フォームデータ     ───▶  _save()メソッド              ───▶  スナックバー表示
                          ├─ API送信                         │
                          └─ 403レスポンス受信               └─ 「403: Permission Denied」
                                                                メッセージ
```

### 関連ファイル一覧

| ファイル | パス | 種別 | 役割 |
|---------|------|------|------|
| api_form.dart | `lib/api_form.dart` | ソース | APIFormWidgetState、_save()メソッド、launchApiForm() |
| api.dart | `lib/api.dart` | ソース | checkRole()メソッド、権限チェック |
| model.dart | `lib/inventree/model.dart` | ソース | canEdit等の権限プロパティ |
| snacks.dart | `lib/widget/snacks.dart` | ソース | showSnackIcon関数の実装 |
| l10.dart | `lib/l10.dart` | ソース | 国際化ヘルパー関数L10() |
