auth: Firmenrechte nur aus nachgewiesener Adresse, 2FA auf allen Login-Wegen (Audit Block 1, Deploy A)

Audit vom 11.09. gegen HEAD geprüft, Entwicklungsplan dazu unter
dev/2026-09-11-audit/ENTWICKLUNGSPLAN.md. Dieser Commit ist Deploy A:
die sechs kleinen Punkte aus Block 1 ohne Schemaänderung.

F01: Der Fortify-Endpunkt PUT /user/profile-information tauschte die
E-Mail sofort und setzte die Verifizierung zurück; der Login-Sync vergab
danach Firmenrechte allein nach E-Mail-Treffer. Feature abgeschaltet
(die Kunden-UI hat den pending_email-Prozess), und der Sync verlangt
jetzt ein verifiziertes, aktives Konto – für alle Aufrufer.

F02: Google-Login übergibt Konten mit bestätigtem TOTP in die Challenge,
wie Passwort- und Magic-Link-Login.

F03: showRecoveryCodes ist gesperrt; ein Client-Update konnte die
Recovery-Codes entschlüsseln lassen.

F08: Nutzer-Detailroute unter can:users:manage (persistente Livewire-
Middleware), Gutschriften autorisieren zusätzlich in der Action.

F09: Gate::before greift nur für aktive Super-Admins; deaktivierte
fallen auf die Gates mit is_active-Prüfung zurück.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

tests/Feature/Admin/AdminGrantTest.php

@@ -10,6 +10,7 @@ use App\Services\Billing\AdminGrantService;
 use App\Services\Billing\CreditWalletService;
 use Database\Seeders\RolesAndPermissionsSeeder;
 use Livewire\Volt\Volt as LivewireVolt;
+use Spatie\Permission\PermissionRegistrar;
 use Tests\TestCase;
 
 /**
@@ -97,3 +98,29 @@ test('the grant panel is not available without the users manage permission', fun
 
     $this->get(route('admin.users.show', $editor->id))->assertForbidden();
 });
+
+test('grants are refused once the permission is revoked while the panel stays open (Audit F08)', function () {
+    /** @var TestCase $this */
+    $this->seed(RolesAndPermissionsSeeder::class);
+
+    $admin = User::factory()->create(['is_active' => true]);
+    $admin->assignRole('admin');
+    $this->actingAs($admin);
+
+    // Zwei geladene Komponenten (ein 403 verwirft den Livewire-Snapshot).
+    $credits = LivewireVolt::test('admin.users.show', ['id' => $admin->id]);
+    $releases = LivewireVolt::test('admin.users.show', ['id' => $admin->id]);
+
+    // Herabstufung, während die Komponenten bereits geladen sind.
+    $admin->syncRoles(['editor']);
+    app()[PermissionRegistrar::class]->forgetCachedPermissions();
+
+    $credits->set('grantCreditsAmount', 250)->call('grantCredits')->assertForbidden();
+    $releases->set('grantPmCount', 2)->call('grantFreePressReleases')->assertForbidden();
+
+    expect(app(CreditWalletService::class)->balance($admin))->toBe(0)
+        ->and($admin->singlePurchases()->count())->toBe(0);
+
+    // Die Route selbst verlangt die Berechtigung – nicht nur mount().
+    $this->get(route('admin.users.show', $admin->id))->assertForbidden();
+});