PART 02 — ロール・権限定義書
RBAC設計・アクター定義・権限マトリクス・承認フロー設計

"""
DjangoのグループとパーミッションのDB設定が権限マトリクスの定義通りか検証するスクリプト。
python manage.py shell で実行するか、management commandとして組み込む。

権限マトリクスをYAMLで管理し、実際のDB設定と突合する。
"""
import yaml
from django.contrib.auth.models import Group, Permission
from django.contrib.contenttypes.models import ContentType
from dataclasses import dataclass


# 権限マトリクスのYAML定義例
PERMISSION_MATRIX_YAML = """
ROLE_SALES:
  order:    [view, add, change]        # 受注: 参照・作成・更新（削除不可）
  product:  [view]                     # 商品マスタ: 参照のみ
  customer: [view, add, change]        # 顧客: 参照・作成・更新

ROLE_BIZ_ADMIN:
  order:    [view, add, change, delete]
  product:  [view, add, change, delete]
  customer: [view, add, change, delete]
  purchase: [view, add, change, delete]

ROLE_VIEWER:
  order:    [view]
  product:  [view]
  customer: [view]
  purchase: [view]
"""


@dataclass
class ValidationError:
    role: str
    model: str
    permission: str
    error_type: str  # "MISSING" | "EXTRA"


def get_current_permissions(group_name: str) -> dict[str, set[str]]:
    """DBから現在のグループのパーミッション設定を取得する"""
    try:
        group = Group.objects.get(name=group_name)
    except Group.DoesNotExist:
        return {}

    result = {}
    for perm in group.permissions.select_related("content_type").all():
        model = perm.content_type.model
        # "view_order" → "view" に変換
        action = perm.codename.replace(f"_{model}", "")
        result.setdefault(model, set()).add(action)
    return result


def validate_permissions() -> list[ValidationError]:
    """権限マトリクスYAMLとDB設定を突合して差異を検出する"""
    matrix = yaml.safe_load(PERMISSION_MATRIX_YAML)
    errors = []

    for role_name, model_permissions in matrix.items():
        current = get_current_permissions(role_name)

        for model, expected_actions in model_permissions.items():
            expected_set = set(expected_actions)
            actual_set = current.get(model, set())

            # 定義されているが設定されていない権限
            for missing in expected_set - actual_set:
                errors.append(ValidationError(
                    role=role_name, model=model,
                    permission=missing, error_type="MISSING"
                ))

            # 設定されているが定義されていない権限（過剰権限）
            for extra in actual_set - expected_set:
                errors.append(ValidationError(
                    role=role_name, model=model,
                    permission=extra, error_type="EXTRA"
                ))

    return errors


def apply_permissions(dry_run: bool = True) -> None:
    """権限マトリクスYAMLに基づいてDjangoグループとパーミッションを設定する"""
    matrix = yaml.safe_load(PERMISSION_MATRIX_YAML)

    for role_name, model_permissions in matrix.items():
        group, created = Group.objects.get_or_create(name=role_name)
        action = "作成" if created else "更新"

        target_perms = set()
        for model_name, actions in model_permissions.items():
            try:
                ct = ContentType.objects.get(model=model_name)
                for act in actions:
                    codename = f"{act}_{model_name}"
                    perm = Permission.objects.get(content_type=ct, codename=codename)
                    target_perms.add(perm)
            except (ContentType.DoesNotExist, Permission.DoesNotExist) as e:
                print(f"  ⚠️ 権限が見つかりません: {model_name}.{act} — {e}")

        if dry_run:
            print(f"[DRY RUN] {action}: {role_name} ({len(target_perms)}件の権限)")
        else:
            group.permissions.set(target_perms)
            print(f"✅ {action}: {role_name} ({len(target_perms)}件の権限を設定)")


if __name__ == "__main__":
    print("=== 権限設定バリデーション ===")
    errors = validate_permissions()
    if not errors:
        print("✅ すべての権限設定が権限マトリクス通りです")
    else:
        for e in errors:
            mark = "❌ 不足" if e.error_type == "MISSING" else "⚠️ 過剰"
            print(f"  {mark}: {e.role} / {e.model} / {e.permission}")

    print("\n=== 権限設定の適用（dry run）===")
    apply_permissions(dry_run=True)