Optimierung 3.6: Zugriffs-Gates und getrennte Impersonation-Sperre

- Gate::define('access-admin'|'access-customer') als Single Source of Truth im
  AppServiceProvider (auch via @can/Policies nutzbar). EnsureUserIsAdmin und
  EnsureUserIsCustomer pruefen jetzt ueber diese Gates.
- Impersonation-Redirect aus EnsureUserIsAdmin in die eigene Middleware
  BlockAdminDuringImpersonation ausgelagert (Sitzungs-Bedingung statt
  Rollenfrage); laeuft vor der Zugriffspruefung und ist zusaetzlich als
  persistente Livewire-Middleware registriert.
- Routen-Alias 'can:' bewusst NICHT verwendet: die Admin-Middleware ist
  persistente Livewire-Middleware und braucht eine konkrete Klasse; der
  parametrisierte Alias kann dort nicht stehen. EnsureApiUserIsActive bleibt
  eigenstaendig (is_active-Pruefung mit getesteter JSON-Antwort, kein Gate).
- Tests: Auth/AccessGatesTest; UserImpersonationTest bleibt gruen.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

app/Providers/AppServiceProvider.php

@@ -4,6 +4,7 @@ namespace App\Providers;
 
 use App\Contracts\NewsletterSyncClient;
 use App\Helpers\ThemeHelper;
+use App\Http\Middleware\BlockAdminDuringImpersonation;
 use App\Http\Middleware\EnsureUserIsAdmin;
 use App\Http\Middleware\LogSlowAdminRequests;
 use App\Http\Middleware\SetEdition;
@@ -28,6 +29,7 @@ use Illuminate\Auth\Listeners\SendEmailVerificationNotification;
 use Illuminate\Database\Events\QueryExecuted;
 use Illuminate\Support\Facades\DB;
 use Illuminate\Support\Facades\Event;
+use Illuminate\Support\Facades\Gate;
 use Illuminate\Support\Facades\URL;
 use Illuminate\Support\ServiceProvider;
 use Laravel\Cashier\Cashier;
@@ -67,6 +69,11 @@ class AppServiceProvider extends ServiceProvider
         // Konsole, Mails).
         URL::defaults(['edition' => SetEdition::DEFAULT_EDITION]);
 
+        // Zugriffs-Gates als Single Source of Truth (auch in Blade via @can und in
+        // Policies nutzbar). Dieselbe Definition, die die Panel-Middleware prüfen.
+        Gate::define('access-admin', fn (User $user): bool => $user->canAccessAdmin());
+        Gate::define('access-customer', fn (User $user): bool => $user->canAccessCustomer());
+
         // Registrierung → Verifizierungsmail; bestätigter Klick → Aktivierung.
         Event::listen(Registered::class, SendEmailVerificationNotification::class);
         Event::listen(Verified::class, ActivateUserAfterVerification::class);
@@ -94,6 +101,7 @@ class AppServiceProvider extends ServiceProvider
         DB::listen(fn (QueryExecuted $query) => app(AdminRequestPerformanceMetrics::class)->record($query));
 
         Livewire::addPersistentMiddleware([
+            BlockAdminDuringImpersonation::class,
             EnsureUserIsAdmin::class,
             LogSlowAdminRequests::class,
         ]);