1

.agent/backend.md

@@ -199,6 +199,36 @@
 - `ADMIN`: 회사 관리자 (회사 내 관리권 한정)
 - `USER`: 일반 사용자
 
+### 6.9 대시보드 권한 검증 및 감시 로깅 (B01_Dashboard Authorization & Audit)
+* **권한 검증 헬퍼 필수:** `.agent/plan_dashboard_management.md` 섹션 9의 Python 헬퍼 함수 구현
+  - `can_edit_project(user, project)` - 프로젝트 수정 권한
+  - `can_delete_project(user)` - 프로젝트 삭제 권한 (SYSTEM_ADMIN만)
+  - `can_change_role(user, target_user, new_role)` - 역할 변경 권한
+    - ADMIN이 SYSTEM_ADMIN으로 변경 시도 시 즉시 False 반환
+    - ADMIN은 USER ↔ ADMIN만 변경 가능 (같은 회사만)
+  - `can_manage_automation(user, automation)` - 자동화 로직 관리 권한 (USER 차단)
+  - `is_last_admin(company_id, exclude_user_id)` - 회사의 마지막 ADMIN 확인
+
+* **백엔드 권한 재검증 필수:** 모든 수정/삭제/역할변경 API에서 권한 재검증
+  - 클라이언트 UI 신뢰 금지 (프론트엔드는 UI만 제어)
+  - 권한 없는 사용자가 API 직접 호출 시도 → 403 Forbidden
+  - 권한 오류 메시지: `{"status": "error", "message": "Access denied"}`
+
+* **감시 로깅 (audit_logs):** 다음 행동들을 기록
+  - 프로젝트 삭제: `action="DELETE_PROJECT"`, `resource_type="project"`
+  - 사용자 역할 변경: `action="CHANGE_ROLE_TO_{NEW_ROLE}"`, `resource_type="user"`
+  - 사용자 삭제: `action="DELETE_USER"`, `resource_type="user"`
+  - 자동화 로직 삭제: `action="DELETE_AUTOMATION"`, `resource_type="automation"`
+
+* **USER 자동화 조회 권한 차단:** `/api/projects/{pid}/automations` GET
+  - 요청 사용자의 role이 USER인 경우 403 Forbidden 반환
+  - 메시지: `"Automation logic viewing is not allowed for users"`
+
+* **마지막 ADMIN 보호:** 사용자 삭제 API에서 체크
+  - `is_last_admin(company_id, exclude_user_id=user_id)` 호출
+  - True 반환 시 400 Bad Request: `"Cannot delete the last admin of the company"`
+  - 역할 변경 API에서도 동일 로직 적용
+
 **마스터 플래그 (users.is_master)**
 - `TRUE`: 회사 생성자 또는 ADMIN 역할 (팀원 승인/거부 권한)
 - `FALSE`: 일반 팀원