Optimierung Phase 0: Korrektheit & Security

Konsolidierter Entwicklungsplan aus den zwei Analyse-Dokumenten plus
Umsetzung der Phase-0-Massnahmen (Korrektheit/Security, je mit Tests):

0.1 BasicAuth: timing-sicherer Vergleich (hash_equals, beide Felder ohne
    Short-Circuit); Enabled-Check zur Laufzeit via config('auth.basic.*')
    statt env() im Bootstrap-Closure (greift jetzt unter config:cache);
    Config-Block + .env.example. Fund: auth.basic.* war nie als Config
    definiert, Gate war faktisch unkonfigurierbar.
0.2 Legacy-Invoice-"latest"-Abfrage zentralisiert (LegacyInvoice::
    scopeLatestFirst + User::latestLegacyInvoice); beide Consumer N+1-frei
    umgestellt; unterschiedliches null-Verhalten bewusst erhalten.
0.3 Payment-Option-Eligibility vereinheitlicht (period-aware, strikt):
    UserPaymentOption::scopeActiveNow/grandfatheredNow + User::
    hasActivePaymentOption; hasActiveBooking/hasUnlimitedPressReleaseQuota
    und ApiAccessEligibilityService darauf umgestellt; $hasGrandfathered-
    Mislabel behoben.
0.4 Theme->Portal-Vokabular: totes, projektfremdes ThemeMiddleware
    geloescht; Mapping in Portal::fromTheme() zentralisiert; fremden
    b2in-Default im ThemeServiceProvider auf Portal-Default korrigiert.
0.5 InvoiceNumberGenerator: Erst-Insert race-sicher via insertOrIgnore
    (Unique-Index auf circle existiert bereits). CreditWalletService war
    bereits abgesichert (Unique-Index + createOrFirst).

Tests: 4 neue Dateien, 5 bestehende auf gueltiges grandfathered_until
angepasst. Volle Suite gruen (793 passed, 1 skipped).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

app/Models/User.php

@@ -5,7 +5,6 @@ namespace App\Models;
 use App\Enums\Portal;
 use App\Enums\RegistrationType;
 use App\Enums\Tier;
-use App\Enums\UserPaymentOptionStatus;
 use Database\Factories\UserFactory;
 use Illuminate\Contracts\Auth\MustVerifyEmail;
 use Illuminate\Database\Eloquent\Factories\HasFactory;
@@ -188,12 +187,17 @@ class User extends Authenticatable implements MustVerifyEmail
             return $this->cachedHasUnlimitedQuota = true;
         }
 
-        return $this->cachedHasUnlimitedQuota = $this->userPaymentOptions()
-            ->whereIn('status', [
-                UserPaymentOptionStatus::Active->value,
-                UserPaymentOptionStatus::Grandfathered->value,
-            ])
-            ->exists();
+        return $this->cachedHasUnlimitedQuota = $this->hasActivePaymentOption();
+    }
+
+    /**
+     * Period-aware Prüfung auf eine aktuell gültige Zahlungsoption
+     * (aktives Abo in laufender Periode oder laufender Bestandsschutz).
+     * Single Source of Truth für API-Gate und Buchungs-/Kontingent-Checks.
+     */
+    public function hasActivePaymentOption(): bool
+    {
+        return $this->userPaymentOptions()->activeNow()->exists();
     }
 
     /**
@@ -253,12 +257,7 @@ class User extends Authenticatable implements MustVerifyEmail
             return true;
         }
 
-        return $this->userPaymentOptions()
-            ->whereIn('status', [
-                UserPaymentOptionStatus::Active->value,
-                UserPaymentOptionStatus::Grandfathered->value,
-            ])
-            ->exists();
+        return $this->hasActivePaymentOption();
     }
 
     /**
@@ -369,6 +368,15 @@ class User extends Authenticatable implements MustVerifyEmail
         return $this->hasMany(LegacyInvoice::class);
     }
 
+    /**
+     * Neueste Legacy-Rechnung des Users (nach Rechnungsdatum, dann ID).
+     * Zentralisiert die zuvor mehrfach reimplementierte „latest"-Abfrage.
+     */
+    public function latestLegacyInvoice(): ?LegacyInvoice
+    {
+        return $this->legacyInvoices()->latestFirst()->first();
+    }
+
     public function filterPresets(): HasMany
     {
         return $this->hasMany(UserFilterPreset::class);