Statistik: uebrige Audit-Korrekturen (Abo-Regeln, Prognose, Sortierung)

A01 — Abo-Regeln waren ueber das Aktiv-Feld umgehbar. Das
Selbstbedienungsformular hat gar keinen Aktiv-Schalter, es spiegelt den Zustand
nur in einem versteckten Feld zurueck; `updateStatus()` hat den Wert trotzdem
uebernommen. Wer den Request manipulierte, konnte sein eigenes Abo dauerhaft
deaktivieren und so die Mindestlaufzeit umgehen, am Pausenpfad mit seinen
Sperren vorbei. Das Feld wirkt jetzt nur noch im Admin-Pfad.

A16 — Statuswechsel wurden nur aus dem Formular protokolliert. Recovery-Zahlung,
Retry, externe Erledigung und die DSGVO-Anonymisierung schreiben `active` direkt
auf das Modell. Das ist heikel, weil die historische Bestandsrueckrechnung ein
Abo verwirft, solange eine protokollierte Deaktivierung nicht durch eine
spaetere protokollierte Reaktivierung aufgehoben ist — ein stiller
`active = true` nimmt es dauerhaft aus allen Folgemonaten.

Der Eintrag liegt deshalb jetzt am Model (`UserAbo::logStatusTransition()`) und
nicht in den einzelnen Diensten: so kann ihn ein kuenftiger Schreibpfad nicht
vergessen, und er entsteht in derselben Transaktion wie die Statusaenderung.
Nebeneffekt: Die DSGVO-Anonymisierung setzt `active = false` ohne `cancel_date`
— bisher fiel ein so abgeschaltetes Abo rueckwirkend aus allen vergangenen
Monaten, jetzt bleibt die Historie korrekt.

A13 — Ein heute faelliges Abo galt ab Mitternacht als erledigt, der
Ausfuehrungsjob laeuft aber erst um 04:00. In diesem Fenster fehlten die Punkte
in der Prognose UND im Ist. Der neue Scope `UserAbo::scopeOpenExecutionUntil()`
zaehlt den heutigen Liefertag mit, solange keine Ausfuehrung angelegt ist —
genau diese Bedingung verhindert die Doppelzaehlung. Alle drei Prognosen nutzen
jetzt denselben Scope statt je einer eigenen Kopie der Datumsregel.

A11 — Der Namens-Tiebreak der Top 3 lief nach dem Abschneiden auf 25
Kandidaten, bei Gleichstand entschied also die Reihenfolge der Abfrage. Die
Auswahlgrenze wird jetzt um alle Gleichstaende an dieser Grenze erweitert, und
Kandidaten ohne Account fallen vorher weg statt die Plaetze zu blockieren. Als
letzte Regel entscheidet die user_id, damit eine gecachte Rangliste
reproduzierbar bleibt.

A14 — Sortiert wurde ueber den angezeigten Zellentext. Unter `en` liefert die
Anwendung `Y-m-d` und `1,000.00`, damit ergab jedes Datum 0 und `1,000.00` wurde
zur 1. Die Zellen tragen jetzt `data-sort-value` mit dem unformatierten Wert;
ohne Attribut gilt weiter der Textweg. Dabei mitgenommen: Umlaute landeten hinter
dem Z (jetzt localeCompare), leere Werte lagen als 0 zwischen den negativen
Stornowerten, und `next_date` wurde doppelt formatiert.

Ausserdem A08 (Prognose auch ohne erreichte Qualifikationsstufe), A09
(Summenzeile im Neupartner-CSV), A10 (Lieferungszahl vorgeladen), A17
(Faelligkeitsgruppen ohne Monatsueberlauf), A18 (Formelinhalte im CSV als Text)
und A19 (fehlgeschlagene Provisionsberechnung ist als solche erkennbar statt
0,00 EUR).

Audit-Befunde A01, A08, A09, A10, A11, A13, A14, A16, A17, A18, A19.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

app/Models/UserAbo.php

@@ -7,6 +7,7 @@
 namespace App\Models;
 
 use App\Enums\PaymentProvider;
+use App\Services\Abo\TeamAboOverviewService;
 use App\Services\AboPaymentMethodService;
 use App\Services\Backoffice\BackofficeDashboardService;
 use App\Services\Util;
@@ -106,6 +107,72 @@ class UserAbo extends Model
                 $abo->saveQuietly();
             }
         });
+
+        static::updated(function (UserAbo $abo): void {
+            $abo->logStatusTransition();
+        });
+    }
+
+    /**
+     * Kanal des laufenden Schreibvorgangs (Formular-View) für das Statusprotokoll.
+     * Systempfade — Cron, Zahlungs-Recovery, Webhooks — lassen ihn leer und
+     * erscheinen in der Historie als „System".
+     */
+    protected static ?string $statusLogView = null;
+
+    /**
+     * Führt den Callback aus und schreibt alle dabei entstehenden Protokolleinträge
+     * mit diesem Kanal. Verschachtelung ist erlaubt: der vorherige Kanal wird
+     * wiederhergestellt, auch wenn der Callback eine Exception wirft.
+     */
+    public static function withStatusLogView(?string $view, \Closure $callback): mixed
+    {
+        $previous = static::$statusLogView;
+        static::$statusLogView = $view;
+
+        try {
+            return $callback();
+        } finally {
+            static::$statusLogView = $previous;
+        }
+    }
+
+    /**
+     * A16: Jeder Wechsel des Aktiv-Zustands wird protokolliert, unabhängig vom
+     * Schreibpfad (Formular, Admin, Zahlungs-Recovery, Retry, externe Erledigung).
+     *
+     * Hintergrund: Die historische Bestandsrückrechnung in
+     * {@see TeamAboOverviewService::aboStockQuery()} verwirft ein
+     * Abo, solange eine protokollierte Deaktivierung nicht durch eine spätere
+     * Reaktivierung aufgehoben ist. Ein Schreibpfad, der still auf `active = true`
+     * zurücksetzt, nimmt das Abo damit dauerhaft aus allen vergangenen Monaten —
+     * deshalb liegt der Eintrag hier am Model und nicht in den einzelnen Diensten.
+     *
+     * Grenzen: Model-Events feuern weder bei Query-Builder-Massenupdates noch bei
+     * `saveQuietly()`. Das Löschen braucht keinen Eintrag, die Rückrechnung wertet
+     * dafür `deleted_at` aus.
+     */
+    protected function logStatusTransition(): void
+    {
+        if (! $this->wasChanged('active')) {
+            return;
+        }
+
+        if ($this->active) {
+            $action = UserAboStatusHistory::ACTION_REACTIVATED;
+        } else {
+            // Status 4 = gekündigt; jede andere Abschaltung ist eine Deaktivierung.
+            $action = (int) $this->status === 4
+                ? UserAboStatusHistory::ACTION_CANCELLED
+                : UserAboStatusHistory::ACTION_DEACTIVATED;
+        }
+
+        UserAboStatusHistory::create([
+            'user_abo_id' => $this->id,
+            'action' => $action,
+            'view' => static::$statusLogView,
+            'actor_user_id' => \Auth::id(),
+        ]);
     }
 
     protected $casts = [
@@ -196,6 +263,36 @@ class UserAbo extends Model
             ->whereNotIn('status', [4, 5, 6]);
     }
 
+    /**
+     * Abos mit noch offener Ausführung im Fenster von heute bis $windowEnd —
+     * gemeinsame Grundlage aller Prognosen (Payline-Kachel, persönliche
+     * Terminvorschau, Team-Übersicht).
+     *
+     * A13: Ein Abo mit `next_date` = heute galt bisher ab Mitternacht als
+     * erledigt (`next_date > heute 23:59:59`). Der Ausführungsjob läuft aber erst
+     * um 04:00 — bis dahin fehlten die Punkte in der Prognose UND im Ist. Deshalb
+     * zählt der heutige Liefertag mit, solange für das Abo heute noch keine
+     * Ausführung angelegt wurde. Sobald sie existiert, stecken die Punkte im Ist;
+     * die Bedingung verhindert also gerade die Doppelzählung.
+     */
+    public function scopeOpenExecutionUntil(Builder $query, Carbon $today, Carbon $windowEnd): Builder
+    {
+        $nextDate = $query->qualifyColumn('next_date');
+
+        return $query
+            ->where($nextDate, '<=', $windowEnd)
+            ->where(function (Builder $open) use ($nextDate, $today) {
+                $open
+                    ->where($nextDate, '>', $today->copy()->endOfDay())
+                    ->orWhere(fn (Builder $dueToday) => $dueToday
+                        ->whereDate($nextDate, $today->toDateString())
+                        ->whereDoesntHave('user_abo_orders', fn ($order) => $order
+                            ->whereDate('user_abo_orders.created_at', $today->toDateString())
+                        )
+                    );
+            });
+    }
+
     /**
      * Schränkt die Abfrage auf Abos ein, die im angegebenen Monat/Jahr hinzugekommen
      * sind (Eingangsmonat = start_date). Bei month=0 (oder außerhalb 1–12) bleibt die