権限制御を細やかにする

[kyosu-1]

権限制御周りの実装は主に以下で行われてる
https://github.com/traPtitech/traQ/blob/master/router/middlewares/user_authenticate.go
https://github.com/traPtitech/traQ/blob/master/router/middlewares/access_control.go
https://github.com/traPtitech/traQ/tree/master/service/rbac

エンドポイントごとに必要なpermissionが設定されており、そのpermissionをアクセスしてきたものが持っているかをチェックしている。permissionはroleに紐づいており、ユーザーやbotはこのroleを持っている。またroleの中でもoauthのscopeパラメータとして指定されうるものがある。
ミドルウェアでのアクセス制御としては

• トークン(or セッション)が有効か（user_authenticate.go)
• (OAuthの場合)必要なscopeが指定されているか（access_control.go）
• ユーザー(bot)が必要なpermissionを含むroleを持っているか(これはトークン or sessionから取得される) (access_control.go)

をチェックしている。

permissionによって許可されるエンドポイントはrouterを見れば分かる。

traQ/router/v3/router.go

Line 88 in 4ac1640

apiUsers.GET("", h.GetUsers, requires(permission.GetUser))

課題として、現状permissionによる権限制御の粒度がやや大きく、OAuthのclient credentials grant でclient持たせたい権限を付与できない問題がある。
#2433 (comment)

新しいpermissionを追加・調整するなどして、権限制御を必要十分に細かくする形で対応したい。