fixed #608 access control for state, annotation, usage, note

`user.persisted?`
の方が、レコードを確認しにいくので安全かと思います。