スタッフ・権限管理（RBAC）

概要

管理画面にログインするスタッフアカウントと、機能ごとのアクセス権（RBAC）の設定方法です。

スタッフアカウント

• 新規追加・編集・削除が可能です（Admin 権限のみがスタッフ CRUD を実行可能）。
• 認証はメールアドレス + パスワード。セッションまたは JWT でアクセスを制御します。

権限（permissions カラム）

Staffs.permissions は JSON 形式で保存されます。

Admin の例

{"role": "admin"}

すべての管理機能にアクセスできます。

スタッフ（機能別制限）の例

{
  "role": "staff",
  "schedule": true,
  "cast": false,
  "content": false
}

フラグ	対象機能
schedule	出勤スケジュール・マトリックス
cast	キャスト登録・編集・メディア・ランキング管理
content	ニュース・バナー・求人・フリーページ・店舗設定・サイト設定

管理画面 URL

パス	機能
/cmm/staffs	スタッフ一覧・管理（Admin のみ）

注意事項

• Admin アカウントを 1 人も残さない状態にしないでください。
• 権限変更は即時反映されます。不要な権限は付与しないでください。

権限フラグの完全一覧

権限は Staffs.permissions カラムに JSON で保存されます。

管理者

{ "role": "admin" }

すべての操作が可能です。

スタッフ

{ "role": "staff", "schedule": true, "cast": false, "content": false }

フラグ	権限
schedule: true	スケジュール管理画面へのアクセス
cast: true	キャスト管理・メディアアップロード・ランキング管理
content: true	お知らせ・バナー・フリーページ・求人・店舗設定・サイト設定の編集

スタッフ管理（/cmm/staffs）は 管理者のみ アクセスできます。

スタッフアカウント管理 UI

• 「名前」「メールアドレス」「パスワード」と権限チェックボックスで新規スタッフを追加
• 編集フォームでパスワードを空白のまま保存すると、パスワードは変更されません
• 自分自身のアカウントは削除できません（API で防止）