gitmedia/presseportale
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions 2

auth: Firmenrechte nur aus nachgewiesener Adresse, 2FA auf allen Login-Wegen (Audit Block 1, Deploy A)

Browse source 
Audit vom 11.09. gegen HEAD geprüft, Entwicklungsplan dazu unter
dev/2026-09-11-audit/ENTWICKLUNGSPLAN.md. Dieser Commit ist Deploy A:
die sechs kleinen Punkte aus Block 1 ohne Schemaänderung.

F01: Der Fortify-Endpunkt PUT /user/profile-information tauschte die
E-Mail sofort und setzte die Verifizierung zurück; der Login-Sync vergab
danach Firmenrechte allein nach E-Mail-Treffer. Feature abgeschaltet
(die Kunden-UI hat den pending_email-Prozess), und der Sync verlangt
jetzt ein verifiziertes, aktives Konto – für alle Aufrufer.

F02: Google-Login übergibt Konten mit bestätigtem TOTP in die Challenge,
wie Passwort- und Magic-Link-Login.

F03: showRecoveryCodes ist gesperrt; ein Client-Update konnte die
Recovery-Codes entschlüsseln lassen.

F08: Nutzer-Detailroute unter can:users:manage (persistente Livewire-
Middleware), Gutschriften autorisieren zusätzlich in der Action.

F09: Gate::before greift nur für aktive Super-Admins; deaktivierte
fallen auf die Gates mit is_active-Prüfung zurück.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
This commit is contained in:
Kevin Adametz 2026-09-18 10:08:55 +00:00
parent edb2d49199
commit 1d76f5a733
20 changed files with 2229 additions and 69 deletions
Download patch file Download diff file Expand all files Collapse all files

5
routes/admin.php
View file

@ -100,7 +100,10 @@ Route::middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, Ens
Volt::route('admin/users', 'admin.users')->name('admin.users.index');
Volt::route('admin/users/create', 'admin.users.create')->name('admin.users.create');
Volt::route('admin/users/{id}', 'admin.users.show')->name('admin.users.show');
// Gutschriften auf der Detailseite sind finanzwirksam: die Berechtigung
// hängt an der Route (persistente Authorize-Middleware, greift auch für
// Livewire-Folge-Requests) und nicht nur an mount() (Audit F08).
Volt::route('admin/users/{id}', 'admin.users.show')->middleware('can:users:manage')->name('admin.users.show');
Volt::route('admin/users/{id}/edit', 'admin.users.edit')->name('admin.users.edit');
// Interner Newsletter: Kampagnen an Bestands-User (Filter + Protokoll).