ユーザー情報ルックアッププラグイン
文字列1行またはユーザー選択フィールドに入力された「ユーザーコード(ログイン名)」をもとに、 氏名・メールアドレス・電話番号・所属・グループなどのユーザー情報を取得し、別の文字列フィールドへ 自動入力するプラグインです。設定したボタンを押したとき、またはレコード保存時に反映できます。
ユースケース
問い合わせ管理や申請フォームなどで、担当者のユーザーコード(ログイン名)を文字列フィールドに入力するだけで、氏名やメールアドレスを別フィールドへ自動入力できます。連絡先を都度手入力する手間や入力ミスを減らせます。
ユーザー選択フィールドで担当者を選ぶと、その担当者が所属する組織やグループの一覧を文字列フィールドへカンマ区切りで自動入力できます(複数選択されている場合は1人目の情報を使用)。検索・絞り込み用の文字列フィールドとして活用できます。
セットアップ手順
- 「ボタン押下時」を使う場合は、アプリのフォーム編集で「スペース」フィールドを1つ配置し、要素IDを設定する(ユーザー情報取得ボタンが表示される場所になります)。
- プラグインをアプリに追加し、設定画面を開く。
- 「+ 設定行を追加」で設定行を作成し、①元フィールド(ユーザーコードが入力される文字列1行、またはユーザー選択)→②発動条件(ボタン押下時/保存時)→③出力先フィールドを編集可能にするか→④転記項目(取得する項目→出力先フィールド)の順に設定して保存する。
- 保存後、アプリを更新する(kintoneのアプリ設定は保存しただけでは反映されず、更新〈デプロイ〉して初めてレコード画面に反映されます)。
元フィールドは、レコード一覧のインライン編集では常に編集できなくなります。該当するユーザーが見つからない場合(未入力を含む)、出力先フィールドはすべて空文字列でクリアされます。
セキュリティレビュー結果サマリ
kintoneセキュアコーディングガイドラインに沿って実装時にチェックしています。特に重要な点は次のとおりです。
- 氏名・メールアドレス等の基本プロフィール項目は、同等のJavaScript APIが存在しないためUser API(REST)を使いますが、呼び出しは必ず
kintone.api()(kintone自身への呼び出し専用の内部ラッパー)のみを使用しています。所属・グループは同等のJavaScript API(kintone.user.getOrganizations()/kintone.user.getGroups())が存在するため、こちらのみを使用しRESTは使いません。外部サーバーへの通信は一切行わず、外部ライブラリも使用していません。 - 設定画面でのフィールド一覧・エラーメッセージの描画、出力先フィールドへの値の書き込みは、いずれも
innerHTMLではなくtextContentやkintone標準のフィールド値レンダリングを経由しており、DOMへ構造として解釈されません。 - 保存前のバリデーションで、元フィールド・出力先フィールドの型制約(元フィールドは文字列1行/ユーザー選択、出力先は文字列1行のみ)、ボタン押下時の設置スペース必須・重複禁止、転記項目0件・出力先の重複などの不正な設定を検出して保存させません。
- User APIの呼び出しに失敗した場合、ボタン押下時はアラート表示、保存時は保存自体を中断するエラー表示を行い、氏名・メール等の主要項目が欠けたまま保存されることを防いでいます。
- 出力先フィールド・元フィールドの編集禁止はJavaScript APIによるUIレベルの制御であり、「不正操作を防ぐ」機能ではなく「通常操作でのミスを防ぐUI上の制約」です。出力先フィールドのアクセス権(誰が閲覧できるか)はアプリ管理者が別途適切に設定してください。
詳細な確認項目・確認日は下記GitHubのチェックリストに全項目を掲載しています。
設定画面イメージ
API実行数について
このプラグインは、氏名・メールアドレス等の取得のためにUser API(GET /v1/users.json、
内部向けラッパーのkintone.api()経由)を実行します。「ボタン押下時」を選んだ設定行は
ボタンを押すたびに、「保存時」を選んだ設定行はレコード保存のたびに1回実行されます。所属・グループの
取得(kintone.user.getOrganizations()/kintone.user.getGroups())は
JavaScript APIのため、kintoneのREST API実行数にはカウントされません。転記項目に所属・グループのみを
設定した設定行では、User API自体は呼び出されません。