一括承認プラグイン（無料）

プロセス管理を有効にすると自動的に作成される「（作業者が自分）」一覧(作業者がログインユーザー自身に限定された一覧)を開くと、一括承認ボタンが表示されます。対象レコードをボタン1つでモーダルに呼び出し、「申請中」グループのチェックボックスで承認するレコードを選び、「承認」アクションを選択、最終確認のうえ一括で実行します。

モーダルはレコードの現在のステータスごとにグループ分けされて表示されるため、「申請中」グループでは一部を「承認」、別のレコードは「差し戻す」を選び、さらに「未処理」グループでは「申請する」を選ぶ、といったように、複数のステータス・複数のアクションにまたがる操作を最終確認画面でまとめて確認し、1回の実行操作で処理できます。

設定画面でモーダルの一覧に表示するフィールドを選べるため、申請金額や申請者名など、承認判断に必要な項目だけを表示できます。現在のステータスはグループの見出しに表示されるため、項目として個別に選ぶ必要はありません。

kintoneセキュアコーディングガイドラインに沿って実装時にチェックしています。特に重要な点は次のとおりです。

• ステータスグループのセクション・レコード一覧テーブル・確認ダイアログの本文はdocument.createElement() + textContentのみで組み立てており、innerHTMLへ動的な値を差し込む箇所はありません。
• 対象レコードの取得にREST APIは使いません。一覧表示イベント(event.records)の内容をそのまま使うため、ボタン押下時に追加の検索リクエストは発生しません。REST APIの利用は「自アプリのプロセス管理アクション実行」のみで、kintone.api()(kintone自身への呼び出し専用の内部ラッパー)経由です。生のfetch/XMLHttpRequestは使用していません。プロセス管理の設定取得・フォームのフィールド定義取得はJavaScript API(kintone.app.getStatus()・kintone.app.getFormFields())を使用しています。
• 次の作業者の選択が必須になる遷移(「次のユーザーから作業者を選択」設定で候補が存在する場合)は、そのステータスのアクション選択肢自体に出さない設計にしており、実行時に自動でassigneeを補うことはありません。
• 「一括承認」ボタンはユーザーの所属グループによる表示制限を行いませんが、プロセス管理を有効にすると自動的に作成される「（作業者が自分）」一覧を開いているときにしか表示されません。実行できるかどうかの真の権限境界は対象アプリのプロセス管理の設定(作業者・実行できるユーザー)自体にあり、ボタンを追加でクライアント側にグループでゲートする実益が薄いと判断したためです(詳細はidea.md参照)。
• 外部サーバーへの通信・外部ライブラリの利用は一切ありません。

詳細な確認項目・確認日は下記GitHubのチェックリストに全項目を掲載しています。

→ security-checklist.md をGitHubで見る