Security (R6.2): Haertung nach Audit

- Security-Header-Middleware (nosniff, X-Frame-Options, Referrer-/
  Permissions-Policy) global, proxy-unabhaengig; CSP bewusst separat.
- Firmenlogo-Upload im Create-Formular durch den ImageService-Pfad
  ersetzt (Mime-Whitelist ohne SVG, Re-Encode, UUID-Name) - vorher
  rohe store()-Ablage ohne Server-Validierung (SVG/XSS moeglich).
- Rate-Limits ergaenzt: Passwort-Reset (3/E-Mail + 15/IP pro Std.),
  Registrierung (10/IP pro Std.), throttle auf magic-login- und
  pm-vorschau-Consume-Routen (Defense-in-Depth).
- EnsureUserIsCustomer als persistente Livewire-Middleware
  (symmetrisch zum Admin-Gate, greift auch bei Folge-Requests).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Providers/AppServiceProvider.php

@@ -6,6 +6,7 @@ use App\Contracts\NewsletterSyncClient;
 use App\Helpers\ThemeHelper;
 use App\Http\Middleware\BlockAdminDuringImpersonation;
 use App\Http\Middleware\EnsureUserIsAdmin;
+use App\Http\Middleware\EnsureUserIsCustomer;
 use App\Http\Middleware\LogSlowAdminRequests;
 use App\Http\Middleware\SetEdition;
 use App\Listeners\ActivateUserAfterVerification;
@@ -113,9 +114,13 @@ class AppServiceProvider extends ServiceProvider
 
         DB::listen(fn (QueryExecuted $query) => app(AdminRequestPerformanceMetrics::class)->record($query));
 
+        // Auch bei Livewire-Folge-Requests erneut prüfen — sonst gälten die
+        // Panel-Gates nur für den initialen Seitenaufruf (R6.2: Customer-Gate
+        // symmetrisch zum Admin-Gate persistieren).
         Livewire::addPersistentMiddleware([
             BlockAdminDuringImpersonation::class,
             EnsureUserIsAdmin::class,
+            EnsureUserIsCustomer::class,
             LogSlowAdminRequests::class,
         ]);
     }