選択: OIDC + JWT

理由：

1. OIDC: Google/GitHubとのSSO連携に標準対応
2. JWT: Web/モバイル両方でステートレスに認証可能
3. アクセストークン: 短命（15分）のJWT
4. リフレッシュトークン: 長命（7日）、DBに保存して無効化可能

// 認証フロー設計
const authFlow = {
  // 1. SSO認証
  ssoLogin: "OIDC Authorization Code Flow + PKCE",

  // 2. トークン設計
  tokens: {
    accessToken: {
      type: "JWT",
      expiry: "15min",
      claims: ["sub", "tenantId", "role", "permissions"],
    },
    refreshToken: {
      type: "opaque",
      expiry: "7days",
      storage: "database（無効化可能）",
    },
  },

  // 3. MFA
  mfa: {
    method: "TOTP（Google Authenticator互換）",
    required: "管理者以上は必須、メンバーは任意",
    enforcement: "ログイン時 + 機密操作時",
  },
};

type Role = "owner" | "admin" | "member" | "guest";

const permissionMatrix: Record<Role, string[]> = {
  owner: [
    "tenant:manage",        // テナント設定の変更
    "tenant:billing",       // 課金管理
    "members:invite",       // メンバー招待
    "members:remove",       // メンバー削除
    "members:role:change",  // ロール変更
    "projects:create",
    "projects:read",
    "projects:update",
    "projects:delete",
    "tasks:create",
    "tasks:read",
    "tasks:update",
    "tasks:delete",
    "tasks:assign",
  ],
  admin: [
    "members:invite",
    "members:remove",
    "projects:create",
    "projects:read",
    "projects:update",
    "projects:delete",
    "tasks:create",
    "tasks:read",
    "tasks:update",
    "tasks:delete",
    "tasks:assign",
  ],
  member: [
    "projects:read",
    "tasks:create",
    "tasks:read",
    "tasks:update",  // 自分が担当のタスクのみ
    "tasks:assign",  // 自分へのアサインのみ
  ],
  guest: [
    "projects:read",  // 招待されたプロジェクトのみ
    "tasks:read",     // 招待されたプロジェクトのタスクのみ
  ],
};

権限マトリクス表：

選択: 行レベル分離（RLS） + テナントコンテキスト自動付与

理由：

• SaaS のスケーラビリティを考慮（テナント数が多くなる想定）
• PostgreSQL のRLSで DB レベルでの強制分離
• コスト効率が良い

// 1. テナントIDの伝播
const tenantMiddleware = async (req: Request, res: Response, next: NextFunction) => {
  const tenantId = req.user.tenantId;

  // DBセッションにテナントIDを設定
  await db.query("SET app.current_tenant = $1", [tenantId]);
  req.tenantId = tenantId;
  next();
};

// 2. Prismaでの自動フィルタリング
const tenantPrisma = (tenantId: string) => {
  return prisma.$extends({
    query: {
      project: {
        async findMany({ args, query }) {
          args.where = { ...args.where, tenantId };
          return query(args);
        },
      },
      task: {
        async findMany({ args, query }) {
          args.where = { ...args.where, tenantId };
          return query(args);
        },
      },
    },
  });
};

// 3. キャッシュキーにテナントIDを含める
const cacheKey = (tenantId: string, resource: string, id: string) => {
  return `tenant:${tenantId}:${resource}:${id}`;
};

const zeroTrustPolicies: Policy[] = [
  {
    name: "テナント設定変更はMFA必須",
    condition: (ctx) =>
      ctx.action.startsWith("tenant:") &&
      !ctx.subject.mfaVerified,
    effect: "deny",
    action: "require_mfa",
  },
  {
    name: "不審なIPからのアクセスは追加認証",
    condition: (ctx) =>
      ctx.environment.riskScore > 60 ||
      ctx.environment.geoLocation !== ctx.subject.usualLocation,
    effect: "deny",
    action: "step_up_auth",
  },
  {
    name: "非管理端末からのデータエクスポート禁止",
    condition: (ctx) =>
      ctx.action === "data:export" &&
      ctx.environment.deviceTrust !== "managed",
    effect: "deny",
    action: "block",
  },
  {
    name: "深夜の管理操作は制限",
    condition: (ctx) => {
      const hour = ctx.environment.time.getHours();
      return (
        ctx.subject.role === "admin" &&
        ctx.action.includes("delete") &&
        (hour < 6 || hour > 22)
      );
    },
    effect: "deny",
    action: "block_with_notification",
  },
];