Optimierung 3.6: Zugriffs-Gates und getrennte Impersonation-Sperre

- Gate::define('access-admin'|'access-customer') als Single Source of Truth im
  AppServiceProvider (auch via @can/Policies nutzbar). EnsureUserIsAdmin und
  EnsureUserIsCustomer pruefen jetzt ueber diese Gates.
- Impersonation-Redirect aus EnsureUserIsAdmin in die eigene Middleware
  BlockAdminDuringImpersonation ausgelagert (Sitzungs-Bedingung statt
  Rollenfrage); laeuft vor der Zugriffspruefung und ist zusaetzlich als
  persistente Livewire-Middleware registriert.
- Routen-Alias 'can:' bewusst NICHT verwendet: die Admin-Middleware ist
  persistente Livewire-Middleware und braucht eine konkrete Klasse; der
  parametrisierte Alias kann dort nicht stehen. EnsureApiUserIsActive bleibt
  eigenstaendig (is_active-Pruefung mit getesteter JSON-Antwort, kein Gate).
- Tests: Auth/AccessGatesTest; UserImpersonationTest bleibt gruen.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

app/Http/Middleware/EnsureUserIsCustomer.php

@@ -4,13 +4,18 @@ namespace App\Http\Middleware;
 
 use Closure;
 use Illuminate\Http\Request;
+use Illuminate\Support\Facades\Gate;
 use Symfony\Component\HttpFoundation\Response;
 
+/**
+ * Zugriffsprüfung auf das Kundenportal („Mein Bereich") über das
+ * `access-customer`-Gate (Rollen admin/editor/customer, aktiv).
+ */
 class EnsureUserIsCustomer
 {
     public function handle(Request $request, Closure $next): Response
     {
-        if (! $request->user()?->canAccessCustomer()) {
+        if (Gate::denies('access-customer')) {
             abort(403, 'Kein Zugriff auf das Kundenportal.');
         }