Stripe-Integration (S0–S3): Einmalzahlungen über Stripe Checkout + Notfall-Go-Live

Wegen PAYONE-Ausfall vorgezogen live geschaltet: alle Einmalzahlungen
(Shop + Salescenter) laufen über Stripe Hosted Checkout, Abos sind bis
Phase S4 eingefroren.

- Provider-Abstraktion: PaymentProvider-Enum, PaymentGatewayInterface,
  PaymentProviderManager (Settings-Schalter, provider-treu je Bestand),
  PayoneGateway als unveränderter Adapter
- StripePaymentService: Checkout Session (eine Gesamtposition, Metadata,
  success/cancel-Redirects), StripeClientWrapper (lazy, Dark Launch),
  StripeCustomerService, StripeTransactionRecorder (client_secret-Redaction)
- Webhook /stripe/webhook: Signaturprüfung, Idempotenz über
  stripe_webhook_events (Crash-Retry-Reprocessing), txaction-Prioritäten,
  Betrags-Guard, lockForUpdate-Paid-Pfad, genau eine Bestätigungsmail
- Zahlungsmethoden-Anzeige aus charge.succeeded (carddata inkl. Wallet,
  auftragsunabhängiges Backfill aus dem Event-Store)
- Checkout: Wartungsmodus mit Admin-Bypass, Abo-Freeze-Hinweis,
  Stripe-Option (Online-Zahlung) statt Zahlartenwahl, Vorkasse ausblendbar
- Abo-Freeze-Guards: Cron user:make_abo_order, Retry, Kartenupdate
- Admin-Settings-Karte Zahlungen (Provider, Wartung, Freeze, Vorkasse)
- Hotfix: 500 bei Vorkasse ohne Clearing-Daten in admin/sales/_detail
  und checkout-final (PAYONE-Ausfall)
- Doku dev/2026-07-08-stripe/ (Plan S0–S8, Konzept, IST-Analyse)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.env.example

@@ -98,3 +98,16 @@ PAYONE_TS=checkout.example.test/transaction/status
 # Hash erzeugen (verdeckte Eingabe, schreibt optional direkt in die .env):
 #   php artisan payone:hash-key --write
 PAYONE_KEY_HASH=
+
+# =============================================================================
+# STRIPE KONFIGURATION (dev/2026-07-08-stripe/)
+# =============================================================================
+# Secret Key (sk_test_… / sk_live_…). Kein Boot-Hard-Fail: ohne Key bleibt
+# Stripe inaktiv; erst die Nutzung des StripeClientWrapper schlägt fehl.
+STRIPE_SECRET=
+# Publishable Key (pk_test_… / pk_live_…)
+STRIPE_KEY=
+# Webhook-Signing-Secret des Endpoints /api/stripe/webhook (whsec_…)
+STRIPE_WEBHOOK_SECRET=
+# test | live — muss zum Key-Paar passen
+STRIPE_MODE=test