web/api/ki: Soft Deletes wieder wirksam, Caches bei Firmenwechsel, KI-Ergebnis an Inhalt gebunden (Audit Block 3+4, Deploy D)

Block 3 — Sichtbarkeit, Löschung, Cache, Eingaben

F04: withoutGlobalScopes() ohne Argument entfernte neben dem PortalScope
auch den Soft-Delete-Filter. Öffentliche, Kunden-, API-, Vorschau- und
Medienpfade sowie die PressRelease-Helfer schreiben jetzt
withoutGlobalScope(PortalScope::class). Zwei Stellen, die der Audit nicht
kannte: die öffentliche Meldungsseite zeigte gelöschte Firmenkontakte mit
Name, Mail und Telefon; das Pressefach listete gelöschte Kontakte weiter
und ließ sie bearbeiten. Ein Architekturtest friert die 39 bewusst
verbliebenen Stellen (Admin, Importer, Befehle, Slug-Eindeutigkeit) ein.
Der Vorschau-Test prüfte bisher forceDelete statt delete.

F22: LOWER(email) machte auf companies (110k Zeilen) bei jedem Login einen
Vollscan; die Kollation ist ohnehin case-insensitiv. EmailQuery vergleicht
auf MySQL direkt über den Index, auf SQLite (Tests) weiter per LOWER.
Neuer Index contacts_email_idx.

F13: Firmen-Observer verwirft die öffentlichen Seiten-Caches bei
Löschung, Wiederherstellung und is_active-Wechsel auf jedem Weg; die
Newsroom-Seite prüft Sichtbarkeit vor dem Cache-Treffer; Kontakt-
Änderungen im Pressefach flushen. Der Tombstone-Test wärmte den Cache
vorher nicht und traf den Fehler nie.

F12: Gemeldete URLs werden über Host, Ausgabe und Slug aufgelöst
(ReportedUrlResolver); fremde Hosts zählen nicht, bei Doppelveröffentlichung
gewinnt die Erstquelle.

F11: per_page 1–100, status als Enum, language nur de/en, Kategorie muss
aktiv sein und zum Ziel-Portal passen. Legacy-Aliasse behalten ihren
Vertrag.

F23: Rückgabewert von put() wird geprüft; Logo erst speichern, dann
Datenbank, dann altes Logo löschen. Fehler enden als Feldfehler, nicht
als verlorenes Logo.

Block 4 — KI-Prüfung und Scheduler

F07: Klassifikation und Score tragen die Prüfsumme des Inhalts bei
Einplanung. Weicht sie beim Speichern ab, wird das Ergebnis verworfen
(ki_audits.discarded_at) und ein neuer Lauf eingeplant. Der Scheduler
veröffentlicht keine Meldung, deren jüngste Klassifikation nicht zum
aktuellen Text passt, sondern plant eine Prüfung mit Routing ein.

F18: Kontingent an den Kalendermonat gebunden (users.press_release_quota_period).
Verbrauch aus einem früheren Monat zählt null, auch ohne Reset-Cron; der
Reset ist idempotent und lässt den laufenden Monat in Ruhe.

F20: Der Publikations-Scheduler liefert bei technischen Fehlern einen
Fehler-Exit-Code, damit der Failure-Hook greift.

F17: KI-Jobs mit $timeout = 120, retry_after 150; Runbook ergänzt.

F19: Aggregation der Aufrufe unter einem Cache-Lock für alle Einstiege.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

tests/Feature/Web/ReportFormTest.php

@@ -62,7 +62,7 @@ test('a reported url matching a published release is linked to it', function ()
         ->create(['published_at' => now()->subDay()]);
 
     $this->post('https://businessportal24.test/de/melden/rechtswidrig', [
-        'reported_url' => 'https://businessportal24.com/de/press-release/'.$release->slug,
+        'reported_url' => 'https://businessportal24.test/de/press-release/'.$release->slug,
         'requester_name' => 'Erika Musterfrau',
         'requester_email' => 'erika@example.com',
         'message' => 'Diese Mitteilung verletzt meine Markenrechte an mehreren Stellen.',
@@ -72,6 +72,33 @@ test('a reported url matching a published release is linked to it', function ()
     expect(LegalRequest::query()->sole()->press_release_id)->toBe($release->id);
 });
 
+test('a reported url on a foreign host or the other portal is not linked to a release', function () {
+    /** @var TestCase $this */
+    Mail::fake();
+
+    $release = PressRelease::factory()
+        ->published()
+        ->forPortal(Portal::Businessportal24)
+        ->create(['published_at' => now()->subDay()]);
+
+    // Fremde Domain mit passendem Pfad und die URL des anderen Portals: beide
+    // gehören nicht zu dieser PM — die Meldung bleibt ohne PM-Bezug (F12).
+    foreach (['https://example.com', 'https://presseecho.test'] as $base) {
+        $this->post('https://businessportal24.test/de/melden/rechtswidrig', [
+            'reported_url' => $base.'/de/press-release/'.$release->slug,
+            'requester_name' => 'Erika Musterfrau',
+            'requester_email' => 'erika@example.com',
+            'message' => 'Diese Mitteilung verletzt meine Markenrechte an mehreren Stellen.',
+            'truth_affirmed' => '1',
+        ])->assertSessionHas('report-status');
+    }
+
+    expect(LegalRequest::query()->count())->toBe(2)
+        ->and(LegalRequest::query()->whereNotNull('press_release_id')->count())->toBe(0)
+        // Ohne PM-Bezug entscheidet der Host des Formulars über das Portal.
+        ->and(LegalRequest::query()->pluck('portal')->unique()->all())->toBe(['businessportal24']);
+});
+
 test('the illegal content report requires the truthfulness affirmation and a valid url', function () {
     /** @var TestCase $this */
     Mail::fake();