archive: Auftragstabelle statt Marker, exklusiver Abschluss, Quarantäne, Restore über Payload-Identität und signierte Exporte, Schlüsselrotation (Umsetzungsaudit 29.09.: A-01 bis A-15, OPT-6, 5.1 d; 02.10.: O04, O05, O07, O08)
- A-01/A-02/A-04: archive_pending_jobs je Vorgang (ArchivePendingQueue), Depublikationsstand am Auftrag festgehalten, Nachholer ohne Schlüssel FAILURE; archive_pending_at nur noch Sammelmarker - O07: Direktweg und Nachholer beanspruchen den Auftrag unter Zeilensperre - O08: fehlende Snapshot-Datei → Verweis auf den image_removed-Eintrag oder offener Auftrag, nie ein still unvollständiger Nachweis - A-03/A-06: Sweep verschiebt in die Quarantäne, Pause beim Restore, archive:reregister; Restore-Abgleich löscht Anwendungskopien erneut - O04/O05: Restore ordnet über den Payload-Pfad zu; unsignierte Exporte nur mit --accept-unsigned, reregister bricht bei ungültigem/fehlendem Export ab - A-05, A-07 bis A-15: Altbestand als möglicherweise veröffentlicht, Hold- Historie, Zweck per POST, Nachweise gelöschter Bilder nur mit compliance:manage, Anhänge auf ihrer Disk, Schlüssel-ID und ARCHIVE_PREVIOUS_KEYS, HMAC per HKDF, archive:verify-export - 5.1 d: Depublikation im Meldeverfahren trägt legal_request_id PressReleaseService.php enthält zusätzlich K-01 (Prüfung im Publish-Lock), N19 (archive() gibt Kopien frei) und N09 (markImagesPublished nur für auslieferbare Bilder), weil die Datei ungeteilt committet ist. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
parent
c82f279fef
commit
60650baeb8
29 changed files with 2918 additions and 412 deletions
|
|
@ -6,11 +6,13 @@ use App\Enums\ActivityType;
|
|||
use App\Enums\ArchiveEvent;
|
||||
use App\Enums\ArchiveReasonCategory;
|
||||
use App\Models\ArchiveEntry;
|
||||
use App\Models\ArchivePendingJob;
|
||||
use App\Models\LegalRequest;
|
||||
use App\Models\PressRelease;
|
||||
use App\Models\PressReleaseImage;
|
||||
use App\Models\PressReleaseRedactionSnapshot;
|
||||
use App\Services\ActivityLog;
|
||||
use App\Services\Archive\ArchivePendingQueue;
|
||||
use App\Services\Archive\PressReleaseArchiver;
|
||||
use App\Services\Image\ImageService;
|
||||
use App\Services\PressRelease\Images\PressReleaseImageRemover;
|
||||
|
|
@ -31,8 +33,9 @@ use Throwable;
|
|||
* in Logs). Bewusst OHNE KI-Gate und OHNE Credit-Bezug — der DSGVO-Pfad
|
||||
* ist Compliance-Pflicht (Art. 12 Abs. 5) und darf an keinem Freigabelauf
|
||||
* oder Bezahlschritt hängen. Deshalb blockiert auch das Beweisarchiv
|
||||
* nicht: Ein fehlgeschlagener Eintrag lässt `archive_pending_at` stehen
|
||||
* und wird nachgeholt (N11).
|
||||
* nicht: Jeder Archiveintrag ist ein Auftrag (ArchivePendingQueue), ein
|
||||
* fehlgeschlagener bleibt offen und wird nachgeholt (N11, Umsetzungsaudit
|
||||
* 29.09.2026 A-02/A-10).
|
||||
*/
|
||||
class AnonymizationService
|
||||
{
|
||||
|
|
@ -46,6 +49,7 @@ class AnonymizationService
|
|||
private readonly PressReleaseImageRemover $imageRemover,
|
||||
private readonly PressReleaseArchiver $archiver,
|
||||
private readonly ImageService $imageService,
|
||||
private readonly ArchivePendingQueue $archiveQueue,
|
||||
) {}
|
||||
|
||||
/**
|
||||
|
|
@ -98,10 +102,11 @@ class AnonymizationService
|
|||
): PressReleaseRedactionSnapshot {
|
||||
$totalHits = 0;
|
||||
$images = collect();
|
||||
$job = null;
|
||||
|
||||
$snapshot = DB::transaction(function () use (
|
||||
$pressRelease, $terms, $replacement, $detachContacts,
|
||||
$removeImageIds, $removeAttachmentIds, $legalRequest, &$totalHits, &$images,
|
||||
$removeImageIds, $removeAttachmentIds, $legalRequest, &$totalHits, &$images, &$job,
|
||||
): PressReleaseRedactionSnapshot {
|
||||
$contactIds = $detachContacts
|
||||
? $pressRelease->contacts()->pluck('contacts.id')->all()
|
||||
|
|
@ -134,16 +139,31 @@ class AnonymizationService
|
|||
}
|
||||
}
|
||||
|
||||
// Marker „Archivierung steht aus" in derselben Transaktion (N11).
|
||||
$pressRelease->setAttribute('archive_pending_at', now());
|
||||
$pressRelease->save();
|
||||
|
||||
// Archivauftrag in derselben Transaktion (N11): Vorher-Stand aus
|
||||
// dem Snapshot, Nachher-Stand dieser Schwärzung — ein späteres
|
||||
// Nachholen bildet nicht einen noch späteren Stand ab (A-04).
|
||||
$job = $this->archiveQueue->push(
|
||||
(int) $pressRelease->getKey(),
|
||||
ArchiveEvent::GdprChange,
|
||||
$snapshot,
|
||||
ArchiveReasonCategory::Gdpr,
|
||||
$legalRequest?->getKey(),
|
||||
Auth::id() !== null ? (int) Auth::id() : null,
|
||||
'Anonymisierung: '.count($terms).' Begriff(e), '.count($removeImageIds).' Bild(er), '.count($contactIds).' Kontakt(e)',
|
||||
[
|
||||
'before' => (array) ($snapshot->encrypted_before['fields'] ?? []),
|
||||
'after' => $pressRelease->only(self::REDACTABLE_FIELDS),
|
||||
],
|
||||
);
|
||||
|
||||
if ($contactIds !== []) {
|
||||
$pressRelease->contacts()->detach($contactIds);
|
||||
}
|
||||
|
||||
foreach ($attachments as $attachment) {
|
||||
$this->deletePublicFiles($attachment->disk, array_filter([$attachment->path]));
|
||||
$this->deleteAttachmentFiles($attachment->disk, array_values(array_filter([$attachment->path])));
|
||||
$attachment->delete();
|
||||
}
|
||||
|
||||
|
|
@ -156,22 +176,16 @@ class AnonymizationService
|
|||
|
||||
// Klarname in Pressebild/PDF: über den gemeinsamen Lebenszyklus
|
||||
// (Beweisarchiv bei veröffentlichten Bildern, Sofortlöschung sonst).
|
||||
$archiveFailed = false;
|
||||
|
||||
foreach ($images as $image) {
|
||||
$archiveFailed = ! $this->removeImage($image, $legalRequest) || $archiveFailed;
|
||||
$this->removeImage($image, $legalRequest);
|
||||
}
|
||||
|
||||
$this->forgetSitemapCaches();
|
||||
|
||||
// Beweisarchiv (Block F.4): Diff alt/neu mit Antrag — dort dürfen die
|
||||
// Altwerte liegen (verschlüsselt, zugriffsprotokolliert), im
|
||||
// Aktivitätsverlauf nicht. Vorher-Stand aus dem Snapshot (N11).
|
||||
$entry = $this->archiveChange($pressRelease, $snapshot, $legalRequest, $terms, $removeImageIds);
|
||||
|
||||
if ($entry !== null && ! $archiveFailed) {
|
||||
$pressRelease->forceFill(['archive_pending_at' => null])->save();
|
||||
}
|
||||
// Aktivitätsverlauf nicht.
|
||||
$entry = $this->archiveChange($pressRelease, $job, $snapshot, $legalRequest);
|
||||
|
||||
// Bewusst ohne Alt-Werte und ohne Schwärzbegriffe — sonst leben die
|
||||
// personenbezogenen Daten im Verlauf weiter.
|
||||
|
|
@ -194,58 +208,73 @@ class AnonymizationService
|
|||
}
|
||||
|
||||
/**
|
||||
* Bild über den Remover entfernen (N12). Scheitert das Archiv, muss der
|
||||
* Klarname trotzdem sofort aus der Auslieferung: Derivate weg, Soft
|
||||
* Delete; der Nachholer archiviert das weich gelöschte Bild später.
|
||||
* Bild über den Remover entfernen (N12). Scheitert das Archiv oder die
|
||||
* Sofortlöschung, muss der Klarname trotzdem sofort aus der
|
||||
* Auslieferung: Derivate weg, Soft Delete. Der Rest wird als Auftrag
|
||||
* festgehalten — Archiveintrag für ein veröffentlichtes v2-Bild,
|
||||
* Sofortlöschung für ein nie veröffentlichtes (A-10) — und vom
|
||||
* Nachholer erledigt.
|
||||
*/
|
||||
private function removeImage(PressReleaseImage $image, ?LegalRequest $legalRequest): bool
|
||||
private function removeImage(PressReleaseImage $image, ?LegalRequest $legalRequest): void
|
||||
{
|
||||
try {
|
||||
$this->imageRemover->remove($image, Auth::user(), ArchiveEvent::ImageRemoved, ArchiveReasonCategory::Gdpr, $legalRequest);
|
||||
|
||||
return true;
|
||||
return;
|
||||
} catch (Throwable $exception) {
|
||||
Log::error('Beweisarchiv: Bild aus Anonymisierung konnte nicht überführt werden, wird nachgeholt.', [
|
||||
'press_release_image_id' => $image->getKey(),
|
||||
'error' => $exception->getMessage(),
|
||||
]);
|
||||
|
||||
$this->imageService->deletePressReleaseImage($image->disk, $image->path, $image->variants);
|
||||
$current = PressReleaseImage::withTrashed()->find($image->getKey());
|
||||
|
||||
if (! $image->trashed()) {
|
||||
$image->delete();
|
||||
if ($current === null) {
|
||||
return;
|
||||
}
|
||||
|
||||
return false;
|
||||
$this->imageService->deletePressReleaseImage($current->disk, $current->path, $current->variants);
|
||||
|
||||
if (! $current->trashed()) {
|
||||
$current->delete();
|
||||
}
|
||||
|
||||
if ($current->isLegacyRules()) {
|
||||
return;
|
||||
}
|
||||
|
||||
if ($current->wasEverPublished()) {
|
||||
$this->archiveQueue->push(
|
||||
(int) $current->press_release_id,
|
||||
ArchiveEvent::ImageRemoved,
|
||||
$current,
|
||||
ArchiveReasonCategory::Gdpr,
|
||||
$legalRequest?->getKey(),
|
||||
Auth::id() !== null ? (int) Auth::id() : null,
|
||||
'Bild aus Anonymisierung',
|
||||
);
|
||||
|
||||
return;
|
||||
}
|
||||
|
||||
$this->archiveQueue->pushImagePurge($current, $exception->getMessage());
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* @param list<string> $terms
|
||||
* @param list<int> $removeImageIds
|
||||
*/
|
||||
private function archiveChange(PressRelease $pressRelease, PressReleaseRedactionSnapshot $snapshot, ?LegalRequest $legalRequest, array $terms, array $removeImageIds): ?ArchiveEntry
|
||||
private function archiveChange(PressRelease $pressRelease, ArchivePendingJob $job, PressReleaseRedactionSnapshot $snapshot, ?LegalRequest $legalRequest): ?ArchiveEntry
|
||||
{
|
||||
try {
|
||||
return $this->archiver->gdprChange(
|
||||
$pressRelease,
|
||||
(array) ($snapshot->encrypted_before['fields'] ?? []),
|
||||
$pressRelease->fresh()?->only(self::REDACTABLE_FIELDS) ?? [],
|
||||
$legalRequest,
|
||||
Auth::user(),
|
||||
ArchiveReasonCategory::Gdpr,
|
||||
'Anonymisierung: '.count($terms).' Begriff(e), '.count($removeImageIds).' Bild(er), '.count($snapshot->encrypted_before['contact_ids'] ?? []).' Kontakt(e)',
|
||||
$snapshot->getKey(),
|
||||
);
|
||||
} catch (Throwable $exception) {
|
||||
Log::error('Beweisarchiv: Anonymisierung konnte nicht archiviert werden, wird nachgeholt.', [
|
||||
'press_release_id' => $pressRelease->getKey(),
|
||||
'snapshot_id' => $snapshot->getKey(),
|
||||
'error' => $exception->getMessage(),
|
||||
]);
|
||||
$payload = (array) $job->payload;
|
||||
|
||||
return null;
|
||||
}
|
||||
return $this->archiveQueue->completeWith($job, fn () => $this->archiver->gdprChange(
|
||||
$pressRelease,
|
||||
(array) ($payload['before'] ?? []),
|
||||
(array) ($payload['after'] ?? []),
|
||||
$legalRequest,
|
||||
Auth::user(),
|
||||
ArchiveReasonCategory::Gdpr,
|
||||
$job->note,
|
||||
$snapshot->getKey(),
|
||||
));
|
||||
}
|
||||
|
||||
/**
|
||||
|
|
@ -278,15 +307,18 @@ class AnonymizationService
|
|||
}
|
||||
|
||||
/**
|
||||
* Anhänge liegen nach der Privatisierung auf `local`, davor auf
|
||||
* `public` — gelöscht wird auf der Disk, die die Zeile nennt (A-12).
|
||||
*
|
||||
* @param list<string> $paths
|
||||
*/
|
||||
private function deletePublicFiles(?string $disk, array $paths): void
|
||||
private function deleteAttachmentFiles(?string $disk, array $paths): void
|
||||
{
|
||||
if ($disk !== 'public' || $paths === []) {
|
||||
if ($paths === [] || ! in_array($disk ?? 'public', ['public', 'local'], true)) {
|
||||
return;
|
||||
}
|
||||
|
||||
Storage::disk('public')->delete($paths);
|
||||
Storage::disk($disk ?? 'public')->delete($paths);
|
||||
}
|
||||
|
||||
/**
|
||||
|
|
|
|||
Loading…
Add table
Add a link
Reference in a new issue