Uebernahme bestehender Legacy-API-Integrationen (Keys, Auth, Pfade)

Bestehende Kunden-Integrationen der Altportale laufen nach dem Relaunch
weiter, ohne dass Kunden etwas umstellen muessen:

1. legacy:import-api-keys uebernimmt die api_keys aus den Legacy-DBs
   (sf_guard_user_profile) als Sanctum-Tokens mit identischem Secret
   (Sanctum loest Tokens ohne id|-Praefix per sha256-Hash auf) — nur
   fuer berechtigte Nutzer (aktiver Zahlungsstatus/Bestandsschutz,
   ApiAccessEligibilityService); idempotent, mit Dry-Run. Probe gegen
   die lokalen Snapshots: 406 Keys wuerden uebernommen.
2. Die Auth-Middleware uebersetzt die alten Uebergabeformen (X-ApiKey-
   Header, api_key-Parameter) fuer gueltige Keys in Bearer; unbekannte
   Keys erhalten weiterhin 410 mit Migrationshinweis.
3. Die dokumentierten /service/...-Pfade der Alt-API sind als Aliasse
   auf die v1-Controller gelegt (pressreleases inkl. Bilder, companies
   lesend); nicht uebernommene Alt-Endpoints (Pressemappen/Kontakte
   anlegen) antworten 410 mit Hinweis auf Kundenkonto und neue Doku.

API-Seite + OpenAPI entsprechend aktualisiert; Go-Live-Checkliste um den
Import-Schritt (nach dem Grandfathering) ergaenzt.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

routes/legacy-api.php

@@ -0,0 +1,50 @@
+<?php
+
+use App\Http\Controllers\Api\V1\CompanyController;
+use App\Http\Controllers\Api\V1\PressReleaseController;
+use App\Http\Controllers\Api\V1\PressReleaseImageController;
+use App\Http\Middleware\EnsureApiTokenRateLimit;
+use App\Http\Middleware\EnsureApiUserIsActive;
+use Illuminate\Support\Facades\Route;
+
+/*
+|--------------------------------------------------------------------------
+| Legacy-API-Aliasse (Übernahme bestehender Integrationen, 06.07.2026)
+|--------------------------------------------------------------------------
+|
+| Die Altportale dokumentierten ihre API unter /service/... (JSON,
+| X-ApiKey-Header). Diese Aliasse bilden die dokumentierte Alt-Oberfläche
+| auf die v1-Controller ab, damit bestehende Kundenintegrationen nach dem
+| Relaunch weiterlaufen (Auth: importierte Legacy-Keys, s. Middleware
+| RejectLegacyApiKeys + legacy:import-api-keys). Läuft in der
+| api-Middleware-Gruppe (bootstrap/app.php, then:) — ohne /api-Präfix.
+|
+| Nicht abgebildet (waren dokumentiert, existieren in v1 nicht):
+| Pressemappen/Kontakte ANLEGEN sowie Einzelbild-GET — dafür antwortet
+| der Fallback mit einem Hinweis auf Kundenkonto und neue Doku.
+|
+*/
+
+Route::prefix('service')
+    ->name('legacy-service.')
+    ->middleware(['auth:sanctum', EnsureApiUserIsActive::class, EnsureApiTokenRateLimit::class])
+    ->group(function (): void {
+        Route::get('pressreleases', [PressReleaseController::class, 'index'])->name('pressreleases.index');
+        Route::post('pressreleases', [PressReleaseController::class, 'store'])->name('pressreleases.store');
+        Route::get('pressreleases/{pressRelease}', [PressReleaseController::class, 'show'])->name('pressreleases.show');
+        Route::get('pressreleases/{pressRelease}/images', [PressReleaseImageController::class, 'index'])->name('pressreleases.images.index');
+        Route::post('pressreleases/{pressRelease}/images', [PressReleaseImageController::class, 'store'])->name('pressreleases.images.store');
+
+        Route::get('users/me/companies', [CompanyController::class, 'index'])->name('companies.index');
+        Route::get('users/me/companies/{company}', [CompanyController::class, 'show'])->name('companies.show');
+    });
+
+// Alles Übrige unter /service/… (inkl. der nicht übernommenen
+// Schreib-Endpoints für Pressemappen/Kontakte): klarer Hinweis statt 404.
+Route::any('service/{path?}', function () {
+    return response()->json([
+        'message' => 'This legacy endpoint is not available anymore. Companies and press contacts are managed in your customer account; see the current API reference for everything else.',
+        'account_url' => url('/customer'),
+        'docs_url' => url('/docs/api/v1'),
+    ], 410);
+})->where('path', '.*')->name('legacy-service.gone');