Organization・ロール・権限を改造する

Organization のテナント境界と Workspace/Project を理解してから業務権限を設計してください。AGENTS.md、docs/principle、apps/tabtin_django、apps/tabtin-electron を読み、ユーザー種別、階層、物、機密、操作、承認と現行 check/filter/visibility を整理します。組織分離を弱めず、ボタン非表示で backend 認可を代用しません。

role × view/create/edit/delete/export/grant の表を作り、OrganizationMember と domain service を再利用します。新規権限は deny-by-default/least privilege。query、object、API、background job、export で統一し、client は 401、403、not found を処理します。backend API は optional field と安全 default で旧版互換です。

owner、admin、editor、viewer、non-member、cross-Organization を list/detail/job/export で契約テストし、メンバー解除後 session/cache が失権することを確認します。表、入口、互換性、証拠、高リスク判断を報告し、superuser を通常フローにせず、依頼なしに migration/commit しません。