auth/security: API-Firmenzuordnung nur für Mitglieder oder Allowlist, Google-Vorabübernahme geschlossen, gemeinsamer Login-Abschluss (Umsetzungsaudit 29.09.: R-01, K-04, K-07, K-08, B-10)

- R-01: ApiNewsroomAssignment hängt an eine bestehende Firma nur noch Owner,
  Mitglieder oder Nutzer aus NEWSROOM_API_ASSIGNMENT_USER_IDS; Pivot mit
  granted_via = api; Befehl company-memberships:api-assignments (Liste,
  --remove mit Vorschau)
- K-04: OAuth-Verifikation eines offenen Kontos verwirft Passwort,
  remember_token und Sanctum-Tokens; SessionRevocation + Middleware
  EnsureSessionIsNotRevoked widerruft alte Sessions (Redis-tauglich)
- K-08: LoginCompletion für Passwort, Magic Link und Google — last_login_at
  und Anmeldemethode auch nach 2FA, Landeziel über die Challenge, Google
  ohne erzwungenes remember, magic-login ohne guest für eigene Links
- B-10: eigener Magic-Link-Zweck image_confirmation (Migration)
- K-07: legalAcceptanceVersions #[Locked], Versionswechsel beim Absenden
  wird abgelehnt, Gate-Abfragen je Request zwischengespeichert

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

routes/auth.php

@@ -15,8 +15,11 @@ Route::group(['middleware' => config('fortify.middleware', ['web'])], function (
         ->middleware(['guest:'.config('fortify.guard')])
         ->name('login');
 
+    // Ohne `guest` (Audit K-08): Ein eingeloggter Kunde, der seinen eigenen
+    // Link öffnet (z. B. Bildbestätigung), soll auf dem Ziel landen; fremde
+    // Links behandelt der Controller wie früher die guest-Middleware.
     Route::get('/magic-login/{token}', MagicLinkConsumeController::class)
-        ->middleware(['guest:'.config('fortify.guard'), 'throttle:10,1'])
+        ->middleware(['throttle:10,1'])
         ->name('magic-links.consume');
 
     // Anmeldung per E-Mail-Link (Magic-Link): zusammengeführte Seite für