WS-6: E-Mail-Verifizierung, Auth-Flow-Fixes & Legacy-Rollen-Sicherheitsfix

E-Mail-Verifizierung (Entscheidung 15.06.):
- User implementiert MustVerifyEmail; Registrierung legt inaktives, rollenloses
  Konto an und leitet auf die Danke-/Notice-Seite; Registered-Event versendet die
  Verifizierungsmail. Bestätigter Link aktiviert das Konto + vergibt customer-Rolle
  (ActivateUserAfterVerification). Backfill-Migration setzt email_verified_at für
  alle Bestands-User (sonst würde die verified-Middleware ~59k aktive Legacy-User
  aussperren). Seeder-User verifiziert.

Auth-Flow-Korrekturen:
- Magic-Link-Consume: rollensicherer Redirect ohne intended() (Customer landete
  sonst per stale intended=/dashboard im 403-Admin-Bereich).
- Guest-Redirect (bootstrap/app.php) rollen-/verifizierungsbewusst statt fix
  /dashboard – schließt die 403-Sackgasse auf /login und /register.
- Logout auf der Notice-Seite via echtes POST-Formular statt Livewire-Action
  (behebt 419 beim Session-Invalidate).
- Magic-Link-Anforderung über eigenes Modal mit separater E-Mail-Eingabe.
- Unverifizierte Login-Versuche landen auf der Notice-Seite.

Sicherheitsfix Legacy-Rollen:
- UserImporter mappte Alt-Gruppe 2 (Self-Publisher) auf editor (= Admin-Zugriff).
  Mapping auf customer korrigiert; Daten-Migration stuft die 65.950 fälschlichen
  Legacy-Editoren auf customer herab. Echte admin/api-only bleiben unberührt.

Tests: Registration, EmailVerification, Authentication (Guest-Redirect),
MagicLinkLogin (Modal/Redirect/Regression), Legacy-Import (Gruppen-Mapping).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Controllers/Auth/MagicLinkConsumeController.php

@@ -43,10 +43,17 @@ class MagicLinkConsumeController extends Controller
         Auth::guard('web')->login($magicLink->user);
         $request->session()->regenerate();
 
-        $home = $magicLink->user->canAccessAdmin()
-            ? route('dashboard', absolute: false)
-            : route('me.dashboard', absolute: false);
+        // Rollensicherer Redirect ohne intended(): eine als Gast besuchte
+        // Admin-URL (z. B. /dashboard) darf einen Customer nach dem
+        // Magic-Link-Login nicht in den 403-Admin-Bereich schicken.
+        $user = $magicLink->user;
 
-        return redirect()->intended($home);
+        $home = $user->canAccessAdmin()
+            ? route('dashboard', absolute: false)
+            : ($user->canAccessCustomer()
+                ? route('me.dashboard', absolute: false)
+                : '/');
+
+        return redirect($home);
     }
 }

app/Listeners/ActivateUserAfterVerification.php

@@ -0,0 +1,39 @@
+<?php
+
+namespace App\Listeners;
+
+use App\Models\User;
+use App\Services\Auth\UserRolePermissionSyncService;
+use Illuminate\Auth\Events\Verified;
+
+/**
+ * Aktiviert einen frisch verifizierten Selbst-Registrierer.
+ *
+ * Entscheidung 15.06.: Erst nach der E-Mail-Verifizierung erhält ein Konto die
+ * customer-Rolle und wird aktiv geschaltet. Magic-Link- und Google-Logins
+ * verifizieren über ihren eigenen Kanal und laufen nicht über dieses Event.
+ */
+class ActivateUserAfterVerification
+{
+    public function __construct(private UserRolePermissionSyncService $roleSync) {}
+
+    public function handle(Verified $event): void
+    {
+        $user = $event->user;
+
+        if (! $user instanceof User) {
+            return;
+        }
+
+        if (! $user->is_active) {
+            $user->forceFill(['is_active' => true])->save();
+        }
+
+        // Bestehende Rollen (z. B. Admin, der seine Mail erneut bestätigt)
+        // bleiben unangetastet; nur rollenlose Selbst-Registrierer werden
+        // zum customer.
+        if ($user->roles()->doesntExist()) {
+            $this->roleSync->assignRoleAndSyncPermissions($user, 'customer');
+        }
+    }
+}

app/Models/User.php

@@ -2,11 +2,11 @@
 
 namespace App\Models;
 
-// use Illuminate\Contracts\Auth\MustVerifyEmail;
 use App\Enums\Portal;
 use App\Enums\RegistrationType;
 use App\Enums\UserPaymentOptionStatus;
 use Database\Factories\UserFactory;
+use Illuminate\Contracts\Auth\MustVerifyEmail;
 use Illuminate\Database\Eloquent\Factories\HasFactory;
 use Illuminate\Database\Eloquent\Relations\BelongsToMany;
 use Illuminate\Database\Eloquent\Relations\HasMany;
@@ -20,7 +20,7 @@ use Laravel\Fortify\TwoFactorAuthenticatable;
 use Laravel\Sanctum\HasApiTokens;
 use Spatie\Permission\Traits\HasRoles;
 
-class User extends Authenticatable
+class User extends Authenticatable implements MustVerifyEmail
 {
     /** @use HasFactory<UserFactory> */
     use Billable, HasApiTokens, HasFactory, HasRoles, Notifiable, SoftDeletes, TwoFactorAuthenticatable;

app/Providers/AppServiceProvider.php

@@ -6,6 +6,7 @@ use App\Contracts\NewsletterSyncClient;
 use App\Helpers\ThemeHelper;
 use App\Http\Middleware\EnsureUserIsAdmin;
 use App\Http\Middleware\LogSlowAdminRequests;
+use App\Listeners\ActivateUserAfterVerification;
 use App\Models\AdminPreset;
 use App\Models\Category;
 use App\Models\CategoryTranslation;
@@ -18,8 +19,12 @@ use App\Observers\AdminPerformanceCacheObserver;
 use App\Services\Admin\AdminRequestPerformanceMetrics;
 use App\Services\Newsletter\NullNewsletterSyncClient;
 use App\Services\PressRelease\PressReleaseService;
+use Illuminate\Auth\Events\Registered;
+use Illuminate\Auth\Events\Verified;
+use Illuminate\Auth\Listeners\SendEmailVerificationNotification;
 use Illuminate\Database\Events\QueryExecuted;
 use Illuminate\Support\Facades\DB;
+use Illuminate\Support\Facades\Event;
 use Illuminate\Support\Facades\URL;
 use Illuminate\Support\ServiceProvider;
 use Laravel\Cashier\Cashier;
@@ -52,6 +57,10 @@ class AppServiceProvider extends ServiceProvider
             URL::forceScheme('https');
         }
 
+        // Registrierung → Verifizierungsmail; bestätigter Klick → Aktivierung.
+        Event::listen(Registered::class, SendEmailVerificationNotification::class);
+        Event::listen(Verified::class, ActivateUserAfterVerification::class);
+
         // Stripe Tax berechnet die USt im Checkout automatisch nach den
         // gleichen Regeln wie der VatResolver im MAN-Kreis (DE mit Steuer,
         // EU nur mit USt-ID befreit, Drittland befreit). Aktiviert zugleich

app/Services/Import/UserImporter.php

@@ -13,10 +13,19 @@ use Illuminate\Support\Facades\DB;
 
 class UserImporter
 {
-    /** Legacy-Gruppen → Spatie-Rollen */
+    /**
+     * Legacy-Gruppen → Spatie-Rollen.
+     *
+     * Achtung: Die Alt-Gruppe 2 hieß dort „editor", meinte aber die normale
+     * Self-Publisher-Masse (Kunden, die ihre eigenen PMs einstellen). Im neuen
+     * Rollenmodell ist `editor` ein Redaktions-/Staff-Recht MIT Admin-Panel-
+     * Zugriff (canAccessAdmin). Legacy-Publisher gehören daher auf `customer`
+     * (nur „Mein Bereich"), nicht auf `editor`. `editor` wird ausschließlich
+     * manuell an echtes Personal vergeben.
+     */
     private const GROUP_ROLE_MAP = [
         1 => 'admin',
-        2 => 'editor',
+        2 => 'customer',
         3 => 'api-only',
         4 => 'customer',
     ];