audit: Nacharbeit Umsetzungsaudit 25.09.2026 — Bildfreigabe, Beweisarchiv, KI-Atomarität, Berichte (Block 8, N01–N05, N07, N08, N10–N21, 5.1, 5.2)

Bilder (N01, N05, N07, N08): gemeinsamer Freigabezustand
PressReleaseImage::isPubliclyDeliverable() für Seiten, OG und Medienroute
(Bestand bleibt sichtbar, v2 nur mit Bestätigung, Admin-Upload bis zum
Kundenklick nicht öffentlich); eigene Ability confirmImageRights nur für den
Kontoinhaber, ohne Super-Admin-Kurzschluss, Identität und ausstehende
Bestätigung auch im Service; Status-Regel unter der PM-Sperre; Cache-Flush
nach dem Commit außerhalb der Dateibereinigung; Snapshot nach Bestätigung an
veröffentlichter PM; Bestätigungstexte an die gezeigte Kennung gebunden.

Beweisarchiv (N02, N10, N11, N12, N13, 5.1): Tombstone unter Zeilensperre mit
erneuter Hold-/Fristprüfung; Dateioperationen ausgewertet, Commands mit
FAILURE; record() über .tmp + move; Marker archive_pending_at mit
archive:retry-pending und archive:sweep-orphans; Anonymisierung entfernt Bilder
über den Remover mit Antragsbezug; Draft-Purge räumt Medien nie
veröffentlichter abgelehnter Einreichungen; App-Kopien fallen mit dem
Archiv-Tombstone; label_corrected nur für veröffentlichte Bilder;
archive_entries.legal_request_id; FileDeletion-Helfer; Systemstatus-Checks.

KI und Hintergrund (N03, N04, N14, N20, N21): Ergebnis-UPDATE und Audit in
einer Transaktion; erwarteter Hash bis in reject()/holdForManualReview();
Ablaufmail per beanspruchtem Marker in einer Transaktion; strikte
Schemaprüfung der Vision-Antwort; Fortschrittsmarke ungecacht.

Berichte und Canonical (N15–N19, 5.2): lückenlose Alterskohorten;
Feed-Identität mit Portal und Sprache; Sitemap-Rolle in der Kundenansicht;
Indexverteilung auf einer Grundgesamtheit; Kopien nach Wegfall der
Erstquelle neu bewertet; Kategorie-Admin leert Seiten-Caches; Dry-Run
zählt alle Tabellen.

Gesamtsuite: 2.122 Tests grün, einer übersprungen; Larastan und Pint sauber.
Zwei Migrationen (nullable Spalten, INSTANT). N09 offen.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

app/Console/Commands/ExpireGrandfathering.php

@@ -142,8 +142,20 @@ class ExpireGrandfathering extends Command
     }
 
     /**
-     * Phase 2: je Kunde genau eine Mail für alle offenen Posten, danach
-     * Marker setzen. Liefert [benachrichtigte Kunden, fehlgeschlagene Kunden].
+     * Phase 2: je Kunde genau eine Mail für alle offenen Posten.
+     * Liefert [benachrichtigte Kunden, fehlgeschlagene Kunden].
+     *
+     * Idempotent (Audit N14): Je Kunde eine Transaktion — offene Posten unter
+     * Zeilensperre erneut lesen, den Marker per bedingtem UPDATE beanspruchen
+     * (0 Zeilen = ein anderer Lauf war schneller, nichts einplanen) und erst
+     * DANACH die Mail in derselben Transaktion einplanen. Scheitert das
+     * Einplanen, rollt der Marker mit zurück; der nächste Lauf holt nach.
+     *
+     * Annahme: `QUEUE_CONNECTION=database` ohne eigene `DB_QUEUE_CONNECTION`
+     * (config/queue.php) — der Job-Insert läuft auf derselben Verbindung und
+     * ist damit Teil der Transaktion. Bei einem Wechsel auf Redis o. ä. bräuchte
+     * es stattdessen einen Zwei-Spalten-Claim (`claimed_at` mit Verfall,
+     * `notified_at` nach Zustellung).
      *
      * @param  Collection<int, UserPaymentOption>  $pending
      * @return array{0: int, 1: int}
@@ -158,26 +170,45 @@ class ExpireGrandfathering extends Command
             $user = $options->first()?->user;
             $ids = $options->pluck('id')->all();
 
-            if ($user !== null && ! $suppressions->isSuppressed($user->email)) {
-                $latestEnd = $options->max(fn (UserPaymentOption $option) => $option->grandfathered_until);
+            try {
+                $queued = DB::transaction(function () use ($ids, $user, $suppressions): bool {
+                    /** @var Collection<int, UserPaymentOption> $open */
+                    $open = $this->pendingNotificationQuery()->whereIn('id', $ids)->lockForUpdate()->get();
+
+                    if ($open->isEmpty()) {
+                        return false;
+                    }
+
+                    $claimed = $this->pendingNotificationQuery()
+                        ->whereIn('id', $open->pluck('id')->all())
+                        ->update(['grandfathering_notified_at' => now()]);
+
+                    if ($claimed === 0) {
+                        return false;
+                    }
+
+                    if ($user === null || $suppressions->isSuppressed($user->email)) {
+                        // Gesperrte Adresse: ohne Mail als erledigt markiert.
+                        return false;
+                    }
+
+                    $latestEnd = $open->max(fn (UserPaymentOption $option) => $option->grandfathered_until);
 
-                try {
                     Mail::to($user)->queue(new GrandfatheringExpired($user, $latestEnd));
-                } catch (\Throwable $exception) {
-                    report($exception);
-                    $this->error(sprintf('Benachrichtigung für User #%s konnte nicht eingeplant werden: %s', $userId, $exception->getMessage()));
-                    $failed++;
 
-                    continue;
-                }
+                    return true;
+                });
+            } catch (\Throwable $exception) {
+                report($exception);
+                $this->error(sprintf('Benachrichtigung für User #%s konnte nicht eingeplant werden: %s', $userId, $exception->getMessage()));
+                $failed++;
 
-                $notified++;
+                continue;
             }
 
-            UserPaymentOption::query()
-                ->whereIn('id', $ids)
-                ->whereNull('grandfathering_notified_at')
-                ->update(['grandfathering_notified_at' => now()]);
+            if ($queued) {
+                $notified++;
+            }
         }
 
         return [$notified, $failed];